PT-2026-139897

CVE-2026-123616

Publicado

2026-10-30

Atualizado

2026-11-08

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas imgproxy versões 3.3.0 até 4.0.15

Descrição O carregador de ICO não valida o campo data size, resultando em alocação de memória ilimitada. Um invasor não autenticado pode fornecer um arquivo ICO de 23 bytes especialmente criado que declara um data size de aproximadamente 4GB, causando exaustão de memória e falhas no worker.

Recomendações Atualize o imgproxy para a versão 4.0.16 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-789: Memory Allocation with Excessive Size Value

CWE-400: Uncontrolled Resource Consumption

Identificadores relacionados