JVNDB-2026-019936

image-sizeにおける無限ループに関する脆弱性

image-size 2.0.2以前には、特別に細工されたICNSイメージバッファを提供することで、リモート攻撃者がNode.jsのイベントループを恒久的にブロックし、サービス拒否を引き起こす脆弱性があります。攻撃者は、有効なマジックバイトとゼロ値のエントリ長フィールドを含むICNSバッファを作成し、ICNSパーサーで無限ループを引き起こします。これは、エントリ長フィールドが0の場合にオフセットが増加されず、whileループの条件が無期限に真のままになるためです。

image-size

• image-size 1.1.0 から 1.2.1
• image-size 2.0.0 から 2.0.2

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Joshua Rogers

• Joshua Rogers : Two infinite loop / DoS vulnerabilities in image-size | Joshua Rogers' Scribbles

VulnCheck

• VulnCheck : image-size 2.0.2 Denial of Service via Malformed ICNS Image Parsing  | Advisories | VulnCheck

1. 無限ループ(CWE-835) [その他]

1. CVE-2025-71330

1. National Vulnerability Database (NVD) : CVE-2025-71330
2. 関連文書 : security: fix potential Denial of Service due to infinite loop by MegaManSec  Pull Request #439  image-size/image-size  GitHub

• [2026年06月16日]
    掲載