Vulnérabilité dans music-metadata (CVE-2026-107391)
Résumé
Vulnérabilité dans music-metadata (CVE-2026-107391). Risque d'opérations non autorisées ou de divulgation. Exploitable via stsd. Atténuation : mise à jour vers 11.12.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
StsdAtom.get() in lib/mp4/AtomToken.ts parses an MP4 stsd (sample description) box's entry table by advancing a cursor with off += size - 4, where size is a 32-bit, attacker-controlled per-entry length read straight from the file. When size == 0, that advance is 0, so a file declaring a huge entry_count and a first entry size of 0 spins forever: same bytes read every iteration, no progress, no exit. Because StsdAtom.get runs synchronously inside strtok3's tokenizer, this doesn't just fail slowly — it blocks the Node.js event loop entirely for the whole process. A 48-byte file is enough to hang any service that parses user-uploaded audio/video metadata through parseBuffer, parseFile, parseStream, parseBlob, or parseWebStream.
This is currently unreleased — present on the master branch only, not in the latest npm release (11.14.0) or any earlier one. Reporting now, before it ships.
Details
lib/mp4/AtomToken.ts, StsdAtom.get():
for (let n = 0; n < header.numberOfEntries; ++n) {
const size = Token.UINT32_BE.get(buf, off); // attacker-controlled entry size
off += Token.UINT32_BE.len; // +4 (skip the size field)
table.push(new SampleDescriptionTable(size - Token.UINT32_BE.len).get(buf, off));
off += size - Token.UINT32_BE.len; // net advance = size - 4
}
- Introduced by commit
d2a7d6f("fix(mp4): locate each sample entry after the first correctly", merged via PR #2…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-107391 a été découverte dans music-metadata.
Des attaquants peuvent cibler un point d'entrée spécifique comme stsd à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.2/10.
Action : mettez à jour music-metadata vers 11.12.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « music-metadata CVE-2026-107391 » sur le site de l'éditeur.
CVE-2026-107391 (music-metadata) — CWE-400 / CVSS v3 6.2
Vecteur d'attaque : local / non authentifié / sans interaction utilisateur
Surface d'attaque : stsd / size / entry_count / StsdAtom.get
Correctif : 11.12.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-400) affecte music-metadata. Les attaquants atteignent le code vulnérable via stsd sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de music-metadata. Surface d'attaque : stsd / size / entry_count / StsdAtom.get.
Gravité : Moyenne (CVSS 6.2/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 11.12.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'music-metadata' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
music-metadataを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade music-metadata to 11.12.1ステージング環境で 11.12.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com