CVE-2026-114112 Ejecución remota de código en Sharp vía decodificación AVIF de libheif incluido

Qué es CVE-2026-114112

sharp antes de 0.35.4 incluye una dependencia libheif vulnerable que permite a atacantes lograr una posible ejecución remota de código en Linux basado en glibc mediante imágenes manipuladas. Se puede enviar entrada AVIF/HEIF maliciosa a aplicaciones que procesan imágenes no confiables con sharp, disparando fallas de decodificación de libheif para ejecutar código.

Productos y versiones afectadas

• lovell sharp

  • hasta antes de 0.35.4

Qué hacer

1. Verificá si usás sharp y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.9 ALTA

CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Alta

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Alta

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

Sharp before 0.35.4 bundles a vulnerable libheif dependency that allows attackers to achieve possible remote code execution on glibc-based Linux by supplying crafted images. Attackers can submit malicious AVIF/HEIF input to applications processing untrusted images with sharp, triggering libheif decoding flaws to execute code.

Referencias

• github.com/lovell/sharp/security/advisories/GHSA-rgj7-g3m4-5g8cVENDOR-ADVISORY
• www.vulncheck.com/advisories/sharp-before-0.35.4-rce-via-bundled-libheif-avif-decodingTHIRD-PARTY-ADVISORY

Historial de la alerta

1. 20 OCT · 22:52VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.