CVE-2026-85715

Nome do Software Vulnerável e Versões Afetadas ExifReader versões anteriores a 4.41.1

Description O ExifReader está suscetível a um problema de negação de serviço ao analisar arquivos HEIC ou AVIF ISO-BMFF especialmente manipulados. O problema ocorre na função getItems() dentro de src/image-header-iso-bmff-iloc.js, onde o analisador confia nos valores itemCount e extentCount da caixa iloc. Quando as variáveis offsetSize, lengthSize, baseOffsetSize e indexSize são definidas como zero, o deslocamento do buffer não avança, mas o analisador continua a alocar objetos de extensão em um loop aninhado. Isso pode levar à alocação de até 4,3 bilhões de objetos, causando um crescimento massivo do heap ou esgotando a memória do sistema, o que encerra o processo Node.js. Isso afeta aplicações web, desktop ou móveis que analisam imagens não confiáveis.

Recommendations Atualize o ExifReader para a versão 4.41.1. Como mitigação temporária, restrinja o processamento de imagens HEIC ou AVIF não confiáveis até que a atualização seja aplicada.