Cyber ·
CVE-2025-60494: leitura inválida de memória no MP4Box do GPAC
Aviso de gravidade média sobre o GPAC (MP4Box): uma entrada MP4 criada especialmente pode causar leitura inválida em gf_props_equal_internal(). A versão afetada e o commit de correção são informados.
Segundo o aviso repassado pela lista oss-sec, uma entrada MP4 criada especialmente pode provocar uma leitura inválida de memória na função gf_props_equal_internal() do MP4Box, parte do projeto GPAC. A falha recebeu o identificador CVE-2025-60494 e é classificada como CWE-476, desreferência de ponteiro NULL. A pontuação CVSS 3.1 informada é 5.5, de gravidade média, com vetor AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H, o que indica impacto declarado apenas na disponibilidade, acesso local e necessidade de interação do usuário. A versão afetada informada é 2.5-DEV-rev1699-g31becc9e0-master, associada ao commit 31becc9e08b88e525a4a62013a4000de1c0f8fd9. A correção indicada é o commit fcb9083292befe61d3e2466b18edfedba49da098. O aviso tem data de 23 de outubro de 2026, e o texto disponível é uma tradução automática do conteúdo do feed; a descrição completa não foi reproduzida aqui. Para verificar, localize o aviso original na lista oss-sec de 2026 pelo título do CVE e confira o histórico do repositório do GPAC pelos hashes acima.