Cyber ·
CVE-2025-60476: uso após liberação na heap no MP4Box (GPAC) com CVSS 8.8
Aviso de segurança sobre uso após liberação na heap no MP4Box (GPAC), na limpeza de descritores AC-4, com CVSS 3.1 de 8.8 e correção indicada no projeto.
A vulnerabilidade CVE-2025-60476 é classificada como CWE-416 (uso após liberação) e afeta o MP4Box, parte do projeto GPAC, na função gf_odf_ac4_cfg_clean_list(), durante a limpeza de descritores AC-4. A pontuação CVSS 3.1 é 8.8 (alta), com vetor de rede, sem privilégios e com interação do usuário; o impacto é descrito como alto em confidencialidade, integridade e disponibilidade. A versão afetada informada é 2.5-DEV-rev1593-gfe88c3545-master, e a correção aparece no commit e02d1fd24cdc26acb1b236ab38b3832cffcae21b. O aviso foi publicado no feed oss-sec em 22 de outubro de 2026, e a avaliação mencionada é a da BDU.
A fonte é uma tradução automática do feed oss-sec e a descrição aparece truncada. Para verificar, consulte o aviso original na lista oss-sec, compare o commit afetado com o histórico do projeto GPAC e confirme a versão do MP4Box instalada. Esta peça não contém código de exploração.