CVE-2026-103513

Nome do Software Vulnerável e Versões Afetadas Apache DataSketches C++ versões 2.0.0-incubating até 5.2.9

Description Ocorre uma leitura e gravação fora dos limites durante a desserialização de esboços CPC. Um esboço CPC serializado malicioso passado para a função cpc sketch::deserialize(), seja a partir de um buffer de bytes ou de um fluxo, pode fazer com que o descompressor leia além do final dos dados compactados, pois a posição de leitura é verificada apenas após a conclusão da decodificação. Na variante híbrida, isso pode causar uma gravação fora de um buffer de heap interno, pois os índices de linha decodificados não foram validados. Além disso, vários campos de cabeçalho e valores decodificados, como lg k, não são validados. Isso pode resultar na corrupção da memória heap, causando travamentos do sistema ou permitindo explorações adicionais. Este problema afeta especificamente aplicações que desserializam esboços CPC de fontes não confiáveis.

Recommendations Atualizar para a versão 5.3.0.