PT-2026-30586 · Sdl Image · Sdl Image

Sebasteuo · Publicado 2026-04-05 · Atualizado 2026-04-07 · CVE-2026-35444

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:L

Name of the Vulnerable Software and Affected Versions SDL image (affected versions not specified)

Description A biblioteca SDL image possui um problema onde os valores de índice de pixel dos dados de tile XCF decodificados são usados diretamente como índices da paleta de cores sem validação em relação ao tamanho da paleta de cores. Um arquivo .xcf criado maliciosamente com uma paleta de cores pequena e índices de pixel fora do intervalo pode causar leituras fora dos limites da memória heap em até 762 bytes após a alocação da paleta de cores. Ambos os caminhos de código IMAGE INDEXED são afetados (bpp=1 e bpp=2). Os bytes da heap vazados são gravados nos dados de pixel da superfície de saída, tornando-os potencialmente observáveis na imagem renderizada.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

CVE-2026-35444

OPENSUSE-SU-2026:10493-1

OPENSUSE-SU-2026:10494-1

Produtos afetados

Sdl Image

Referências · 14

• https://github.com/libsdl-org/SDL_image/security/advisories/GHSA-gq8w-x74c-h6p7 · Correção
• https://github.com/libsdl-org/SDL_image/commit/996bf12888925932daace576e09c3053410896f8 · Nota
• https://github.com/libsdl-org/SDL_image/commit/a1a06276a51ca7e6e63908b200df8a278d8c5039 · Nota
• https://github.com/libsdl-org/SDL_image/commit/678ac6a4c6021853485050926f45db08ba6aec48 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-35444 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10494-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35444 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-35444 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35444 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-35444 · Nota
• https://twitter.com/CVEnew/status/2041282867163230548 · Publicação no Twitter
• https://osv.dev/vulnerability/openSUSE-SU-2026:10493-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35444 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-35444 · Aviso do Fabricante