A weakness has been identified in GPAC 26.08-DEV. This impacts the function wait_for_header_and_parse of the file src/utils/downloader.c. This manipulation of the argument Content-Range causes out-of-bounds read.
The attack requires local access. The exploit has been made available to the public and could be used for attacks. Upgrading to version abi-16.26 will fix this issue.
Patch name: c74a3065038ede35c1c7b75fa493a69ef6bcdb84. It is recommended to upgrade the affected component.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 8
https://github.com/gpac/gpac/
cna@vuldb.com
https://github.com/gpac/gpac/commit/c74a3065038ede35c1c7b75fa493a69ef6bcdb84
cna@vuldb.com
https://github.com/gpac/gpac/issues/3859
cna@vuldb.com
https://github.com/gpac/gpac/releases/tag/abi-16.26
cna@vuldb.com
https://vuldb.com/cve/CVE-2026-92475
cna@vuldb.com
https://vuldb.com/submit/941761
cna@vuldb.com
https://vuldb.com/vuln/405734
cna@vuldb.com
https://vuldb.com/vuln/405734/cti
cna@vuldb.com