Vulnerabilidad en ncnn de Tencent (CVE-2026-50144)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

15/07/2026

Última modificación:

24/10/2026

Descripción

ncnn es un framework de inferencia de redes neuronales de alto rendimiento optimizado para la plataforma móvil. En el commit e54f7b1f88434e1d844ea0551b880a1cfb079ce1 y anteriores, ncnn permite una escritura fuera de límites en el heap (out-of-bounds heap write) en ncnn::ParamDict::load_param() cuando Net::load_param() carga un archivo de modelo .param malicioso porque el ID del parámetro analizado se verifica solo contra id >= NCNN_MAX_PARAM_COUNT, lo que permite que un ID negativo indexe antes del array params[NCNN_MAX_PARAM_COUNT]. Esta vulnerabilidad se corrige con el commit 5a0288f255daa6c3294f77109f67718e434ec020.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.10

Gravedad 3.x

ALTA

Vulnerabilidad en ncnn de Tencent (CVE-2026-50144)

Descripción

Impacto

Referencias a soluciones, herramientas e información