CVE-2026-114112: falha de alta gravidade em lovell sharp
Sharp before 0.35.4 RCE via bundled libheif AVIF decoding
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
21Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 8.9epss 0.2%
Sharp before 0.35.4 bundles a vulnerable libheif dependency that allows attackers to achieve possible remote code execution on glibc-based Linux by supplying crafted images. Attackers can submit malicious AVIF/HEIF input to applications processing untrusted images with sharp, triggering libheif decoding flaws to execute code.
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Produtos afetados
lovell · sharpCVEs relacionadas — lovell sharp
No mesmo produto, das mais perigosas para as menos.
CVE-2022-29256MEDIUMPossible vulnerability at 'npm install' time in sharp if an attacker has control over build environmentEPSS 0.4%CVE-2026-114111HIGHSharp before 0.35.5 RCE via librsvg Dependency Memory VulnerabilityEPSS 0.1%CVE-2026-114113HIGHSharp before 0.35.0 Multiple Vulnerabilities via Bundled libvips Image DecodersEPSS 0.1%