【中危】jxl-modular：拒绝服务风险（GHSA-2v8p-fqpx-2q3w）

安全情报快照 · 风险级别：中危 · CVSS：6.2 · GHSA-2v8p-fqpx-2q3w

先看结论

jxl-modular存在拒绝服务风险，<= 0.11.2 受影响，建议升级至 0.11.3。

影响范围

生态	组件	受影响版本	首个修复版本
rust	`jxl-modular`	<= 0.11.2	0.11.3

处置建议

优先将 jxl-modular 升级至 0.11.3 或更高版本；升级前请结合业务依赖完成兼容性验证。

上游技术详情（原文）

Summary

Logic bug in decode_simple_table_slow may cause integer arithmetic overflow when decoding Modular image with certain kind of MA tree, which may panic with overflow-checks enabled.

Impact

Denial of service: any application passing untrusted JXL data to JxlImage::render_frame (or equivalent) can be
crashed. Affects all builds with overflow checks enabled, which includes debug builds and any release build
that sets overflow-checks = true in Cargo.toml or [profile.*].

No memory corruption is possible — the panic fires before any unsafe code is reached.

来源与许可

本页自动同步 GitHub Advisory Database 的公开数据，并保留上游原文供核验；不宣称原创分析。数据许可：CC-BY-4.0。