PT-2026-2164 · Panda3D · Panda3D

Ron Edgerson · Publicado 2026-01-07 · Atualizado 2026-05-26 · CVE-2026-22190

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Panda3D até e incluindo a 1.10.16

Descrição O utilitário egg-mkfont do Panda3D contém uma vulnerabilidade de string de formato não controlada. A opção de linha de comando -gp é usada diretamente como a string de formato para a função sprintf() com um único argumento. O fornecimento de especificadores de formato adicionais por um atacante pode levar à leitura de valores não intencionais da pilha e à gravação da saída formatada nos arquivos .egg e .png gerados, potencialmente expondo memória residente na pilha e valores de ponteiro.

Recomendações Versões anteriores a 1.10.16 não são afetadas. Atualize o Panda3D para uma versão posterior a 1.10.16.

Exploit

Correção

Use of Externally-Controlled Format String

Enumeração de Fraquezas

CWE-134

Identificadores relacionados

CVE-2026-22190

Produtos afetados

Panda3D

Referências · 10

• 🔥 https://seclists.org/fulldisclosure/2026/Jan/11 · Exploit
• https://github.com/panda3d/panda3d · Nota
• https://twitter.com/CVEnew/status/2009020527269302550 · Publicação no Twitter
• https://twitter.com/SystemTek_UK/status/2009232917067669641 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2009016852110848119 · Publicação no Twitter
• https://t.me/cveNotify/164697 · Publicação no Telegram
• https://vulncheck.com/advisories/panda3d-egg-mkfont-format-string-information-disclosure · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-22190 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-22190 · Aviso do Fabricante
• https://panda3d.org · Nota