Le parseur ID3v2 de `music-metadata` utilise la taille déclarée du tag pour allouer un tampon sans vérifier qu’elle correspond aux données disponibles. Un fichier tronqué de 10 octets peut ainsi entraîner une allocation pouvant atteindre environ 268 Mo ; les versions concernées vont jusqu’à 11.12.3 selon l’avis.
Source : GHSA-jjpr-9cvf-cq55 — music-metadata: ID3v2 tag size not validated before allocation
Analyse technique
La taille syncsafe du tag est utilisée pour allouer le corps avant que la lecture ne confirme que les octets existent. L’avis cite les parsers MP3, FLAC, DSF et Musepack.
Impact, versions et correctif
Détection / vérification
Vérifier l’usage de `music-metadata` pour analyser des fichiers portant des tags ID3v2 non fiables.
Action recommandée
Mettre à jour vers 11.16.0 ou une version ultérieure et éviter d’analyser des fichiers audio non fiables avec une version vulnérable.
Sources
Priorisation DFS : P4 · 1 source(s).