Cyber ·
CVE-2025-60487: ponteiro NULL no MP4Box (GPAC) via XML malformado
Vulnerabilidade de severidade média no MP4Box do GPAC: uma entrada XML especialmente criada pode levar à desreferência de ponteiro quase NULL em gf_isom_get_esd(). Pontuação CVSS 3.1 de 6.2.
O aviso, publicado no feed oss-sec em 23 de outubro de 2026, descreve a CVE-2025-60487 no GPAC (MP4Box). Afeta a versão de desenvolvimento 2.5-DEV-rev1665-g3f20eb0cd-master, identificada pelo commit 3f20eb0cd22116367c036e6ffe6ace299b38d686. A correção aparece no commit e6d01820d7bf3967d931fedb379ee5f209bc133b. A fraqueza é classificada como CWE-476, desreferência de ponteiro NULL. Uma entrada XML especialmente criada pode levar o MP4Box a desreferenciar um ponteiro quase NULL na função gf_isom_get_esd(). O vetor CVSS 3.1 é AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, com nota 6.2, classificada como média; o impacto declarado é de disponibilidade. A avaliação é da BDU. Para verificar, confirme se o build em uso contém o commit de correção ou atualize para uma versão que o inclua. O aviso original está no arquivo oss-sec do SecLists, em 2026, q4. A fonte não informa uma versão estável corrigida, por isso não é possível afirmar qual release resolve o problema.