CVE-2026-106111

Nome do Software Vulnerável e Versões Afetadas ImageSharp versões 4.0.0 até 4.1.1

Descrição Na biblioteca de gráficos 2D, a função ExrBaseDecompressor.UndoZipCompression() aceita um resultado de inflação ZIP ou ZIPS não vazio que é menor do que o tamanho do bloco EXR exigido. Enquanto o ZipExrCompression.Decompress() reconstrói o prefixo retornado, o ExrDecoderCore() processa o bloco completo esperado usando um buffer de Configuration.Default. Esse comportamento permite que bytes retidos de uma operação anterior do ImageSharp apareçam nos pixels decodificados. Consequentemente, aplicações que exponham a saída de uma decodificação EXR controlada por um invasor podem divulgar dados de imagem locais do processo.

Recomendações Atualizar para a versão 4.1.2.