CVE-2026-123616highCWE-789

CVE-2026-123616: fallo de gravedad alta en imgproxy

imgproxy 3.3.0 before 4.0.16 Memory Exhaustion DoS via ICO Loader

Publicada el

Seguir esta CVE+ Monitorear imgproxy

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

18Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.7
imgproxy from 3.3.0 before 4.0.16 contains an unbounded memory allocation vulnerability in the ICO loader that fails to validate the data_size field. Attackers can supply a crafted 23-byte ICO file declaring a ~4GB data_size to trigger memory exhaustion and worker crashes without authentication.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Productos afectados
imgproxy · imgproxy
CVEs relacionadas — imgproxy

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-24354MEDIUMimgproxy is vulnerable to SSRF against 0.0.0.0EPSS 0.9%CVE-2026-123615HIGHimgproxy before 4.0.17 Out-of-Bounds Write in ICO LoaderEPSS —CVE-2026-123614CRITICALimgproxy 4.0.0 before 4.0.16 Heap Buffer Overflow via ICO Loader Integer OverflowEPSS —