CVE-2026-58868

9.8Critique

Faits confirmés

Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.

Dans onOutputReçu de FrameDecoder.cpp, il y a une possible écriture hors-de-bounds en raison d'un débordement de tampons. Cela pourrait conduire à l'exécution de code à distance sans privilèges d'exécution supplémentaires. L'interaction utilisateur n'est pas nécessaire pour l'exploitation.

Texte officiel (anglais)

In onOutputReceived of FrameDecoder.cpp, there is a possible out-of-bounds write due to a heap buffer overflow. This could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation.

Versions touchées

Pas encore publiées par NVD. Consultez l’avis de l’éditeur.

Correctif et avis officiels

Statut NVD : Undergoing Analysis · CWE-787

Notre analyse automatique : en termes simples

Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.

Type d’erreur : Écriture hors de la mémoire prévue

Le programme écrit au-delà de la zone mémoire réservée. Cela peut le faire planter ou permettre d’exécuter du code.

Comment elle s’exploite

Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, sans action de la victime. L’attaque est simple à réaliser.

Ce qu’un attaquant pourrait faire

lire des données confidentielles
modifier des données ou le système
rendre le service indisponible

Mini glossaire

CVE: Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS: Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE: Catégorie du type d’erreur à l’origine de la faille.
KEV: Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif: Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation: Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.

Articles liés

4 nov.08:46

Questions Google Patches pour Critical Android Flaw qui pourrait permettre RCE sans interaction utilisateur

Un défaut critique Android pourrait permettre à un attaquant d'exécuter le code sur un téléphone sans aucune action utilisateur à distance, Google a déclaré dans son bulletin de sécurité Novembre. Le défaut, CVE-2026-58868, affecte Android 14 à 17. Les téléphones obtiennent la correction avec le niveau de sécurité 2026-11-01 ou plus tard, que les fabricants de téléphones et les transporteurs envoient sur leurs propres horaires. Au 4 novembre, le bulletin de Google n'a pas rapporté

The Hacker News

This product uses data from the NVD API but is not endorsed or certified by the NVD.