CVE-2026-123616highCWE-789

CVE-2026-123616: falha de alta gravidade em imgproxy

imgproxy 3.3.0 before 4.0.16 Memory Exhaustion DoS via ICO Loader

Publicada em

Seguir esta CVE+ Monitorar imgproxy

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

18Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7
imgproxy from 3.3.0 before 4.0.16 contains an unbounded memory allocation vulnerability in the ICO loader that fails to validate the data_size field. Attackers can supply a crafted 23-byte ICO file declaring a ~4GB data_size to trigger memory exhaustion and worker crashes without authentication.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Produtos afetados
imgproxy · imgproxy
CVEs relacionadas — imgproxy

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24354MEDIUMimgproxy is vulnerable to SSRF against 0.0.0.0EPSS 0.9%CVE-2026-123615HIGHimgproxy before 4.0.17 Out-of-Bounds Write in ICO LoaderEPSS —CVE-2026-123614CRITICALimgproxy 4.0.0 before 4.0.16 Heap Buffer Overflow via ICO Loader Integer OverflowEPSS —