CVE-2026-32814

Nome do Software Vulnerável e Versões Afetadas libheif versões anteriores a 1.22.0

Descrição Ao decodificar uma imagem de grade HEIF com strict decoding definido como false (padrão), um bloco corrompido pode falhar na decodificação silenciosamente. A biblioteca retorna heif error Ok sem indicar falha, resultando em um vazamento de informações de memória heap não inicializada. Isso ocorre porque a tela é alocada via create clone image at new size() → plane.alloc() → new (std::nothrow) uint8 t[allocation size], que não zera a memória. Enquanto o plano alfa é inicializado via fill plane(), os planos Y, Cb e Cr retêm dados anteriores do heap. Consequentemente, a região do bloco com falha contém dados de heap não inicializados que são entregues ao chamador como valores de pixels decodificados, totalizando mais de 12.288 bytes. No processamento do lado do servidor, um arquivo .heic ou .avif manipulado pode vazar dados confidenciais de outros usuários, como tokens de autenticação ou resultados de banco de dados, quando a imagem é decodificada e recodificada para miniaturas ou CDNs.

Recomendações Atualize para a versão 1.22.0.