« Volver al listado

CVE-2026-107389

Estado: En análisisMedia (6.2)—

music-metadata es un analizador de metadatos para archivos multimedia de audio y vídeo. En versiones anteriores a la 11.16.0, el analizador EBML de Matroska y WebM decodifica una longitud de elemento VINT controlada por el atacante y la utiliza para la asignación de un token de cadena o de un Uint8Array antes de confirmar que la hoja cabe dentro de su padre o de la entrada disponible.

Leer descripción completaMostrar menos

Entradas WebM, MKV o MKA manipuladas pueden provocar asignaciones desproporcionadas, una denegación de servicio por falta de memoria o, en el caso de una ruta parseFile demostrada en Node.js 26.7.0, una interrupción fatal de V8 imposible de capturar. El modo de fallo exacto depende del tokenizador, de la API del analizador y del entorno de ejecución, pero el fallo de validación de la longitud de las hojas afectado es común y solo tiene impacto en la disponibilidad. Este problema está corregido en la versión 11.16.0.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

AV:L/PR:N/UI:N indica acceso local sin privilegios ni interacción, pero CWE-789 (asignación descontrolada) y el mecanismo de consumo de memoria sin validación previa sugieren explotación de lógica local. El impacto es DoS por agotamiento de memoria (T1499.004) en parseo de archivos MKV/WebM; la enum

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Threat Intelligence ProgramFilter Network TrafficExecution PreventionApplication Isolation and SandboxingExploit ProtectionUpdate Software

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Borewit — Music-metadataAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107389",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107389",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T18:32:35.247883Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.2,
          "attackVector": "LOCAL",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.5
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "Borewit",
          "product": "music-metadata",
          "versions": [
            {
              "status": "affected",
              "version": "< 11.16.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T20:17:33.190",
  "references": [
    {
      "url": "https://github.com/Borewit/music-metadata/commit/163f013364ac9fc8dd0c3987433cd065a615af58",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Borewit/music-metadata/commit/2d14dc1f7391a94235948a0b823155538f69b3df",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Borewit/music-metadata/pull/2735",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Borewit/music-metadata/releases/tag/v11.16.0",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Borewit/music-metadata/security/advisories/GHSA-5gfj-9q3v-qfp3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Borewit/music-metadata/security/advisories/GHSA-5gfj-9q3v-qfp3",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-789"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "music-metadata is a metadata parser for audio and video media files. Prior to 11.16.0, the Matroska and WebM EBML parser decodes an attacker-controlled VINT element length and uses it for string-token or Uint8Array allocation before confirming that the leaf fits within its parent or available input. Crafted WebM, MKV, or MKA inputs can cause disproportionate allocations, out-of-memory denial of service, or, for a demonstrated parseFile path on Node.js 26.7.0, an uncatchable V8 fatal abort. The exact failure mode depends on the tokenizer, parser API, and runtime, but the affected leaf-length validation flaw is shared and has availability impact only. This issue is fixed in version 11.16.0."
    }
  ],
  "lastModified": "2026-10-09T19:16:41.583",
  "sourceIdentifier": "security-advisories@github.com"
}