CVE-2026-107391
music-metadata es un analizador de metadatos para archivos multimedia de audio y vídeo. En la revisión pública de desarrollo introducida después de la 11.14.0, una regresión de la rama de desarrollo en el analizador de descripciones de muestras stsd de MP4 permite que un tamaño de entrada de muestra de cero controlado por el atacante impida que el cursor de StsdAtom.get avance mientras un entry_count controlado por el atacante mantiene en ejecución el bucle síncrono.
Leer descripción completaMostrar menos
Una entrada de la familia MP4 manipulada puede bloquear el bucle de eventos de Node.js y hacer crecer la tabla de descripciones de muestras hasta que el proceso se termina o agota la memoria. El cambio vulnerable estaba presente en la rama master pública, pero no se incluyó en music-metadata 11.14.0 ni en ninguna versión anterior publicada en npm, y la versión 11.16.0 contiene la corrección. Este problema está corregido en la versión 11.16.0.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Versión: 3.1
- Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Puntuación base: 7.5
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días: 0.27%
- Percentil entre todas las CVEs puntuadas: 18
- Fecha de la puntuación: 14/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
🎯 Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1068Exploitation for Privilege Escalationprivilege escalation45 % - Impacto principal
T1499.004Application or System Exploitationimpact90 %
Acceso local (AV:L, PR:N) sin interacción del usuario. El impacto es DoS por agotamiento de recursos: bucle infinito con entrada size=0 y entry_count controlados causa bloqueo del event loop y consumo de memoria hasta crash o exhaustión.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
🛡️ Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
CWE
- CWE-400, CWE-835
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-107391",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-107391",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-08T20:23:13.594233Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security-advisories@github.com",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 6.2,
"attackVector": "LOCAL",
"baseSeverity": "MEDIUM",
"vectorString": "CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "HIGH",
"privilegesRequired": "NONE",
"confidentialityImpact": "NONE"
},
"impactScore": 3.6,
"exploitabilityScore": 2.5
},
{
"type": "Primary",
"source": "nvd@nist.gov",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 7.5,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "HIGH",
"privilegesRequired": "NONE",
"confidentialityImpact": "NONE"
},
"impactScore": 3.6,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security-advisories@github.com",
"affectedData": [
{
"vendor": "Borewit",
"product": "music-metadata",
"versions": [
{
"status": "affected",
"version": "< 11.16.0"
}
]
}
]
}
],
"published": "2026-10-08T20:17:33.530",
"references": [
{
"url": "https://github.com/Borewit/music-metadata/commit/90a7d52c69e921a0b019592d887acd97b1c8b8a5",
"tags": [
"Exploit",
"Patch"
],
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/Borewit/music-metadata/pull/2734",
"tags": [
"Exploit",
"Patch"
],
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/Borewit/music-metadata/releases/tag/v11.16.0",
"tags": [
"Patch",
"Release Notes",
"Vendor Advisory"
],
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/Borewit/music-metadata/security/advisories/GHSA-f94x-6692-553q",
"tags": [
"Exploit",
"Vendor Advisory"
],
"source": "security-advisories@github.com"
}
],
"vulnStatus": "Analyzed",
"weaknesses": [
{
"type": "Secondary",
"source": "security-advisories@github.com",
"description": [
{
"lang": "en",
"value": "CWE-400"
},
{
"lang": "en",
"value": "CWE-835"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "music-metadata is a metadata parser for audio and video media files. In the public development revision introduced after 11.14.0, a development-branch regression in the MP4 stsd sample-description parser allows an attacker-controlled sample-entry size of zero to prevent the StsdAtom.get cursor from advancing while an attacker-controlled entry_count keeps the synchronous loop running. A crafted MP4-family input can block the Node.js event loop and grow the sample-description table until the process is terminated or exhausts memory. The vulnerable change was present on the public master branch but was not included in music-metadata 11.14.0 or any earlier npm release, and version 11.16.0 contains the fix. This issue is fixed in version 11.16.0."
}
],
"lastModified": "2026-10-13T19:39:28.280",
"configurations": [
{
"nodes": [
{
"negate": false,
"cpeMatch": [
{
"criteria": "cpe:2.3:a:borewit:music-metadata:*:*:*:*:*:*:*:*",
"vulnerable": true,
"matchCriteriaId": "7AA6F063-4589-4B0E-87CE-A10C08066645",
"versionEndExcluding": "11.16.0",
"versionStartIncluding": "11.14.0"
}
],
"operator": "OR"
}
]
}
],
"sourceIdentifier": "security-advisories@github.com"
}