PT-2026-24463 · File-Type · File-Type

Crnkovic · Publicado 2026-03-10 · Atualizado 2026-05-22 · CVE-2026-31808

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas versões do file-type anteriores à 21.3.1

Descrição Existe uma vulnerabilidade de negação de serviço no parser de detecção de tipo de arquivo ASF (WMV/WMA) no file-type. Ao processar uma entrada especialmente elaborada na qual um sub-cabeçalho ASF possui um campo de tamanho zero, o parser fica preso em um loop infinito. O valor do payload torna-se negativo (-24), fazendo com que tokenizer.ignore(payload) mova a posição de leitura para trás, lendo repetidamente o mesmo sub-cabeçalho. Aplicações que utilizam o file-type para detectar o tipo de entrada não confiável estão suscetíveis. Um atacante pode interromper o event loop do Node.js com um payload de 55 bytes.

Recomendações Atualize para a versão 21.3.1 ou posterior.

Exploit

Correção

DoS

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2026-31808

GHSA-5V7R-6R5C-R473

Produtos afetados

File-Type

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/31xxx/CVE-2026-31808.json · Exploit
• https://github.com/sindresorhus/file-type · Nota
• https://github.com/sindresorhus/file-type/commit/319abf871b50ba2fa221b4a7050059f1ae096f4f · Correção
• https://github.com/sindresorhus/file-type/security/advisories/GHSA-5v7r-6r5c-r473 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-31808 · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-31808 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5v7r-6r5c-r473 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-31808 · Nota de Segurança
• https://twitter.com/CVEnew/status/2031504087364059571 · Publicação no Twitter