FICHE CVE

CVE-2026-64832

Publiée le 2026-07-22 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les versions 4.4 à 8.1.2 de FFmpeg sont concernées si vous utilisez NVIDIA NVDEC pour le décodage vidéo accéléré par matériel. Un attaquant peut provoquer une corruption de la mémoire et potentiellement prendre le contrôle total de l'application en vous incitant à traiter un fichier vidéo spécialement conçu à cet effet. Cela ne nécessite aucun privilège ou authentification particulière, bien que cela dépende de l'ouverture ou du chargement du fichier malveillant par un utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Double libération (double free) · CWE-415

Publiée2026-07-22

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

FFmpeg versions 4.4 through 8.1.2 contain a double-free vulnerability in the NVIDIA NVDEC hardware decoder within libavcodec/nvdec.c that allows attackers to trigger memory corruption by supplying a crafted video file. When no decoder surfaces remain, the ff_nvdec_start_frame_sep_ref error path frees memory via nvdec_fdd_priv_free while the calling layer subsequently frees the same frame description data, resulting in a double-free of the underlying decoder context in any FFmpeg-based application using NVDEC hardware-accelerated decoding.