CVE-2026-112020
Vulnérabilité moyenne dans lodepng (lvandeve)
CVSS 6.9 · Moyenne
EPSS 0.1%
lvandeve•lodepng•Versions : <=20261006, 0
Description
LodePNG through 20261006 contains a heap out-of-bounds read vulnerability in lodepng::getFilterTypesInterlaced() in lodepng_util.cpp that lacks bounds checks on decompressed IDAT data. Attackers can supply a crafted interlaced PNG declaring a raster larger than its IDAT stream to disclose adjacent heap memory or crash applications.
Gravité et risque d'exploitation
CVE-2026-112020 obtient un score CVSS de 6.9/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.12 %, ce qui la place devant 1.7 % des CVE référencées.
Que faire ?
- Vérifiez si lodepng (versions <=20261006, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://hackmd.io/@haindpwn/lodepng-getfiltertypesinterlaced-short-idat-oob-read
- https://github.com/lvandeve/lodepng/blob/e584a8490db1b76b81bf298c11c09d3b55d9c270/lodepng_util.cpp#L185-L203
- https://github.com/lvandeve/lodepng
- https://www.vulncheck.com/advisories/lodepng-through-20261006-heap-out-of-bounds-read-via-getfiltertypesinterlaced