Vulnerabilidad en tinytag (CVE-2026-32889)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

20/03/2026

Última modificación:

30/03/2026

Descripción

tinytag es una biblioteca de Python para leer metadatos de archivos de audio. La versión 2.2.0 permite a un atacante que puede proporcionar archivos MP3 para su análisis activar un bucle no terminante mientras la biblioteca analiza un marco ID3v2 SYLT (letras sincronizadas). En implementaciones del lado del servidor que analizan automáticamente archivos proporcionados por el atacante, un único MP3 de 498 bytes puede hacer que la operación de análisis deje de progresar y permanezca ocupada hasta que el trabajador o proceso sea terminado. La causa raíz es que _parse_synced_lyrics asume que _find_string_end_pos siempre devuelve una posición mayor que el desplazamiento actual. Esa suposición es falsa cuando no hay un terminador de cadena presente en el contenido restante del marco. Este problema ha sido solucionado en la versión 2.2.1.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto