CVE-2025-71450
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
La bibliothèque `inih`, utilisée pour analyser les fichiers de configuration INI, est affectée dans toutes les versions antérieures à r63. La faille se situe dans la fonction `ini_parse_stream`, où le code ne parvient pas à gérer correctement les lignes dépassant la longueur maximale autorisée. Lorsqu'une ligne spécialement conçue est suivie d'un octet nul, le programme lit un octet au-delà de la fin de son tampon alloué.
Un attaquant peut provoquer le plantage de l'application ou un comportement indéterminé, impactant ainsi la disponibilité du système. Cela nécessite un accès local et dépend du fait que l'utilisateur soit incité à charger un fichier INI malveillant ou à fournir une chaîne de configuration malveillante. Étant donné que cela requiert une interaction spécifique de l'utilisateur et un accès local aux fichiers, le risque d'exploitation à distance est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
inih before r63 contains a one-byte stack buffer under-read in ini_parse_stream() in ini.c that allows attackers to read abyss[-1] via an embedded NUL byte after an overlong line. Attackers can supply an INI file or string with a line of at least INI_MAX_LINE-1 bytes followed by a NUL byte, causing undefined behavior reported by memory sanitizers.