JVNDB-2026-019938

image-sizeにおける無限ループに関する脆弱性

image-size 2.0.2以前のバージョンには、リモートの攻撃者が特別に細工された画像バッファを認識されたボックスタイプのサイズフィールドにゼロ値を含めて提供することで、Node.jsのイベントループを永久にブロックし、サービス拒否を引き起こす脆弱性があります。攻撃者は、サイズがゼロのボックスを含む細工された画像を提供することで、JXLまたはHEIF画像パーサに無限ループを発生させ、オフセットが進まなくなり、アプリケーションを永久にハングさせます。

image-size

• image-size 2.0.2 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Joshua Rogers

• Joshua Rogers : Two infinite loop / DoS vulnerabilities in image-size | Joshua Rogers' Scribbles

VulnCheck

• VulnCheck : image-size 2.0.2 Denial of Service via Infinite Loop in JXL/HEIF Parser  | Advisories | VulnCheck

1. 無限ループ(CWE-835) [その他]

1. CVE-2025-71319

1. National Vulnerability Database (NVD) : CVE-2025-71319
2. 関連文書 : security: fix potential Denial of Service due to infinite loop by MegaManSec  Pull Request #439  image-size/image-size  GitHub

• [2026年06月16日]
    掲載