FICHE CVE

CVE-2026-40930

Publiée le 2026-06-04 · Dernière modification le 2026-07-22

🇫🇷 EN BREF

Les applications utilisant la bibliothèque libpng 1.8.0 pour traiter des images PNG sont affectées par une erreur d'analyse dans le gestionnaire APNG. Un attaquant distant non authentifié peut provoquer le plantage d'un système ou modifier des données en incitant le logiciel à interpréteres des données d'image comme une commande. Cela nécessite qu'un utilisateur ouvre ou traite un fichier image malveillant spécialement conçu.

CVSS 3.15.4 MOYENNE

Type de faiblesse

CWE-436

Publiée2026-06-04

Dernière modification2026-07-22

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

LIBPNG is a reference library for use in applications that process PNG (Portable Network Graphics) raster image files. In version 1.8.0, three inter-frame chunk discard paths in the push-mode APNG parser clear the chunk-header flag without consuming the chunk body and CRC, allowing attacker-controlled bytes inside an ignored ancillary chunk to be reinterpreted as a fresh chunk header on the next call to `png_process_data`. Commit faf06924688b62d7c1654b5ceddedbde66ffadb4 fixes the issue.