یک آسیب‌پذیری از نوع Use-After-Free (UAF) در ابزار MP4Box، بخشی از پروژه GPAC، شناسایی شده است که نسخه‌های تا 26.07.0 را تحت تأثیر قرار می‌دهد. این نقص امنیتی در تابع gf_fq_pop در فایل filter_core/filter_queue.c رخ می‌دهد و می‌تواند منجر به کراش کردن برنامه یا تخریب حافظه (Memory Corruption) شود.
جزئیات فنی و مکانیسم حمله
برای بهره‌برداری از این آسیب‌پذیری، عامل تهدید باید یک فایل رسانه‌ای یا MP4 دست‌کاری شده (Crafted File) را به سیستم هدف ارسال کند. از آنجایی که MP4Box یک ابزار خط فرمان (CLI) محلی است، مسیر حمله به صورت Local یا از طریق رابط کاربری (UI-driven) است. به عبارت دیگر، قربانی باید فایل مخرب را به‌صورت دستی اجرا کند و یا این فایل باید وارد یک خط لوله ترنس‌کدینگ خودکار (Automated Transcoding Pipeline) شود.
تأثیرات و سطح خطر
با وجود اینکه کد اکسپلویت (PoC) این آسیب‌پذیری به‌صورت عمومی منتشر شده است، اما تأثیر آن بر روی محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) در سطح Low ارزیابی شده است. در حال حاضر هیچ گزارشی مبنی بر بهره‌برداری گسترده از این نقص در محیط‌های عملیاتی (In the Wild) وجود ندارد و این مورد در لیست KEV سازمان CISA نیز قرار نگرفته است.
- نوع آسیب‌پذیری: Use-After-Free
- شناسه: CVE-2026-108539
- تأثیر: کراش سیستم یا تخریب محدود حافظه
- وضعیت اکسپلویت: دارای PoC عمومی
به‌روزرسانی (اکتبر 11, 2026 — Vuln Today)
به‌روزرسانی: یک آسیب‌پذیری جدید از نوع Buffer Overflow با شناسه CVE-2026-108538 در نسخه 0.8.0 ابزار GPAC (به‌ویژه در کتابخانه libgpac.a) شناسایی شده است. این نقص که در هنگام پردازش فایل‌ها توسط MP4Box رخ می‌دهد، می‌تواند منجر به تخریب حافظه و در سناریوهای خاص، اجرای کد (RCE) شود.
جمع‌بندی موارد گزارش‌شده libgpac.a
- in GPAC 0.8.0 — Buffer Overflow — CVE-2026-108539
- in GPAC 0.8.0 — Buffer Overflow — CVE-2026-108538
