music-metadataは、オーディオおよびビデオメディアファイルのメタデータを解析するツールです。バージョン11.15.0以前のバージョンでは、DSFパーサーが認識できないチャンクを処理する際に、`tokenizer.ignore`を呼び出しますが、返されるPromiseを待たずに、また12バイトのチャンクヘッダーよりも小さいチャンクサイズを拒否せずに処理していました。悪意のあるDSFファイルを入力すると、負の値をignoreの長さに設定する可能性があります。strtok3 10.3.5以降のバージョンでは、これにより`RangeError`が発生し、parseBufferのPromiseから切り離され、Node.jsのデフォルトの動作により、未処理の例外となります。この結果、解析処理が完了する前にプロセスがクラッシュし、個々の解析処理におけるtry/catchによるエラーハンドリングを回避する可能性があります。この問題の影響は、DSFの解析パスを使用している場合にのみ発生します。この問題は、バージョン11.15.0で修正されました。
CVSS 3.1: 7.5 (高) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)