- CWE-787
CVE-2026-113679
HarfBuzz'da WebAssembly font_glyph_to_string işlevinde sınır dışı yazma açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
HarfBuzz 8.0.0 ile 14.6.0 sürümlerini kapsayan sürümlerde, deneysel WebAssembly shaper bileşeninde sınır dışı yazma (out-of-bounds write) açığı bulunmaktadır. Bunun nedeni, font_glyph_to_string içe aktarımının yanlış bir WAMR imzasına sahip olmasıdır. Saldırganlar, wasm modülü çıktı tamponunu doğrusal belleğin sonuna yakın yerleştiren özel hazırlanmış bir font sağlayabilir; bu durumda glif adı baytları ana bilgisayar belleğine yazılarak uygulamaların çökmesine veya bozulmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
HarfBuzz 8.0.0 through 14.6.0 contains an out-of-bounds write vulnerability in the experimental WebAssembly shaper because the font_glyph_to_string import has a wrong WAMR signature. Attackers can supply a crafted font whose wasm module places the output buffer near linear memory's end, writing glyph-name bytes into host memory to crash or corrupt applications.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| harfbuzz | ≥ 8.0.0, ≤ 14.6.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/harfbuzz/harfbuzz/pull/6414 Yama
- github.com/…ommit/5e821de8256d01780566b5c8ab7886fae4c93da8 Yama
- vulncheck.com/…nds-write-via-webassembly-font-glyph-to-string Üçüncü taraf
- github.com/…z/harfbuzz/blob/14.6.0/src/hb-wasm-api-list.hh Diğer
- github.com/…z/harfbuzz/blob/14.6.0/src/hb-wasm-api-font.hh Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.