发布日期：2026-03-11
更新日期：2026-06-16

受影响系统：

struktur libheif 1.21.2

描述：

---

CVE(CAN) ID: CVE-2026-3950

struktur libheif是struktur开源的一款ISO/IEC 23008-12:2017HEIF文件格式解码器和编码器。
struktur libheif 1.21.2及之前版本存在越界访问漏洞，该漏洞源于解析媒体文件stsz、stts数据块时，未校验文件中记录的样本数量、索引偏移边界，直接使用文件可控偏移值访问内存数组，攻击者可利用该漏洞读取进程边界外堆栈、堆内存，窃取程序密钥、文件路径、用户缓存、隐私数据。

<**>

建议：

---

厂商补丁：

struktur
--------
厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://github.com/Niebelungen-D/pocs/tree/main/heif_dec_sequence_chunk_idx_oob

浏览次数：63
严重程度：0（网友投票）