CVE-2026-112074
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
Tencent ncnn (versions jusqu'à 44b02d) est un framework d'inférence de réseaux neuronaux haute performance utilisé pour exécuter des modèles d'IA sur des appareils mobiles et embarqués. La faille se situe dans la fonction `yuv420sp2rgb` de l'API de conversion, qui gère la conversion de l'espace colorimétrique des images. Un dépassement d'entier se produit lorsque le logiciel traite des données d'image spécialement conçues, entraînant une corruption de la mémoire.
Un attaquant peut déclencher cette faille à distance, bien que cela nécessite qu'un utilisateur interagisse avec un fichier ou une entrée malveillante. L'impact est faible, pouvant potentiellement causer une fuite mineure d'informations ou un plantage localisé, mais il ne permet pas de prendre le contrôle total du système. Comme l'exploit est disponible publiquement et ne nécessite aucune authentification, le risque est présent mais limité par la nécessité d'une interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in Tencent ncnn up to 44b02dabdcf97499281a4692ebd65bad73dcf8b6. Affected by this issue is the function ncnn::yuv420sp2rgb of the file src/mat_pixel.cpp of the component Conversion API. The manipulation results in integer overflow. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.