Baja

Exiv2 has quadratic performance in ICC profile parsing in JpegBase::readMetadata

Publicada: 29.08.2025
Actualizado: 11.10.2026 13:19

Impact

A denial-of-service was found in Exiv2 version v0.28.5: a quadratic algorithm in the ICC profile parsing code in jpegBase::readMetadata() can cause Exiv2 to run for a long time. Exiv2 is a command-line utility and C++ library for reading, writing, deleting, and modifying the metadata of image files. The denial-of-service is triggered when Exiv2 is used to read the metadata of a crafted jpg image file.

Patches

The bug is fixed in version v0.28.6.

References

Issue: https://github.com/Exiv2/exiv2/issues/3333 Fixes: https://github.com/Exiv2/exiv2/pull/3335 (main branch), https://github.com/Exiv2/exiv2/pull/3345 (0.28.x branch)

For more information

Please see our security policy for information about Exiv2 security.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	exiv2	<= 0.17.3	sin corrección

Referencias

Puntuación CVSS -

Vector CVSS: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Debilidad (CWE): CWE-407
Plataforma: Python (PyPI)
Paquete: exiv2
Publicada: 29.08.2025
Actualizado: 11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-1355 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m54q-mm9w-fp6g - CC BY 4.0

Historial de vulnerabilidades: exiv2

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (15) en el archivo

Entradas en total: 15
Primera → última: 05.2017 08.2025
Sin corrección: 12
Explotada en ataques: 0

Distribución por gravedad

Alta 3
Media 10
Baja 2

Divulgaciones por año

2017: 1
2018: 4
2019: 1
2020: 0
2021: 2
2022: 0
2023: 2
2024: 2
2025: 3
2026: 0

29.08.2025

Exiv2 has quadratic performance in ICC profile parsing in JpegBase::readMetadata esta entrada

Baja CVE-2025-55304 <= 0.17.3 sin corrección
06.11.2023

Exiv2 is a C++ library and a command-line utility to read, write, delete and modify Exif, IPTC, XMP and ICC image metadata. An out-of-bounds write was found in Exiv2 version v0.28.0. The vulnerable fu

Alta · 8.8 CVE-2023-44398 todas las versiones sin corrección
22.08.2023

Buffer Overflow vulnerability in tEXtToDataBuf function in pngimage.cpp in Exiv2 0.27.1 allows remote attackers to cause a denial of service and other unspecified impacts via use of crafted file.

Alta · 7.8 CVE-2020-18831 todas las versiones sin corrección
26.07.2021

An integer overflow in CrwMap::encode0x1810 of Exiv2 0.27.3 allows attackers to trigger a heap-based buffer overflow and cause a denial of service (DOS) via crafted metadata.

Alta · 7.5 CVE-2021-31292 todas las versiones sin corrección

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación