CVE-2026-58936
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
libpng est une bibliothèque largement utilisée qui permet aux logiciels de lire et d'écrire des fichiers images PNG. Une faille dans la fonction `png_set_tRNS` crée une condition de type « use-after-free », où le programme continue d'utiliser une adresse mémoire après que celle-ci a été libérée. Cette corruption de mémoire se produit lorsque la bibliothèque traite une image PNG spécialement conçue.
Un attaquant peut exploiter ce bug pour exécuter du code arbitraire sur votre système, compromettant ainsi la confidentialité et l'intégrité de vos données. Cette attaque est particulièrement dangereuse car elle ne nécessite ni authentification d'utilisateur ni privilèges spéciaux pour être déclenchée. Un attaquant distant a seulement besoin de convaincre votre serveur ou votre application de traiter un fichier image malveillant.
RÉFÉRENCES
Description officielle du NVD (en anglais)
In png_set_tRNS of pngset.c, there is a possible memory corruption due to a use-after-free. This could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation.