Cyber ·
Godot 4.x corrige gravação fora dos limites no carregador de imagens HDR Radiance
Aviso do oss-sec sobre a correção, já integrada ao master do Godot, para gravação fora dos limites do heap ao carregar imagens HDR Radiance corrompidas, com referência ao CVE-2026-110734.
O aviso foi publicado no feed oss-sec por Tomasz Kaye em 23 de outubro de 2026 e informa que a correção para gravação fora dos limites ao carregar imagens HDR corrompidas foi integrada ao upstream do Godot 4.x. Segundo o texto, o PR #124697, intitulado "Corrige gravação fora dos limites ao carregar imagens HDR corrompidas", foi integrado ao branch master em 20 de outubro de 2026, com commit de merge aef8e1f55a.
De acordo com a descrição da correção, o código passa a rejeitar dimensões de imagem não positivas ou grandes demais. Além disso, cada execução RLE e cada bloco de dados passam a ser limitados à largura restante da linha de varredura. O texto do PR cita o identificador CVE-2026-110734 e declara a avaliação do fornecedor, mas o trecho disponível na curadoria está truncado e não detalha essa avaliação.
A relevância para quem acompanha segurança de software é o padrão de falha: validação insuficiente de dimensões e de tamanhos de bloco em formatos binários. Para verificar os detalhes, consulte o aviso original no oss-sec e o PR citado no repositório oficial do Godot, que são as fontes que definem escopo, severidade e versões afetadas.