Hoch

Muhammara has a NULL pointer dereference in LZWDecode filter when DecodeParms omits EarlyChange key

Veröffentlicht: 26.06.2026
Aktualisiert: 11.10.2026 10:22

Summary

A NULL pointer dereference vulnerability exists in PDFParser::CreateFilterForStream() when processing a PDF stream with /Filter /LZWDecode and a /DecodeParms dictionary that does not contain the EarlyChange key. This causes an access violation (0xC0000005) and crashes the process.

Affected Version

muhammara <= 6.0.4 (latest)

Vulnerability Details

File: src/deps/PDFWriter/PDFParser.cpp line 2107

cpp

if (inDecodeParams)
{
    PDFObjectCastPtr<PDFInteger> earlyObj(
        QueryDictionaryObject(inDecodeParams, "EarlyChange")
    );
    early = earlyObj->GetValue();  // NULL dereference when EarlyChange key is absent
}

When inDecodeParams is non-NULL but lacks the EarlyChange key:

QueryDictionaryObject() returns NULL
PDFObjectCastPtr<PDFInteger>(NULL) wraps NULL
earlyObj->GetValue() dereferences NULL → crash

PoC

460-byte malicious PDF triggers crash via startReadingFromStream():

PDF contains /Filter /LZWDecode with /DecodeParms << >> (empty, no EarlyChange)
Exit code: 0xC0000005 (Access Violation)

Fix

cpp

if (earlyObj)
    early = earlyObj->GetValue();

Impact

Any application accepting untrusted PDFs and using muhammara to read stream contents is vulnerable to DoS.

Similar to: CVE-2022-41957, CVE-2022-39381

PoC File

poc_muhammara_lzw_null.js

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	muhammara	< 6.0.5	6.0.5

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE): CWE-476
Plattform: npm
Paket: muhammara
Veröffentlicht: 26.06.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-fhp4-pr5j-46m5 - CC BY 4.0

Schwachstellenhistorie: muhammara

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 11.2022 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 5

Veröffentlichungen pro Jahr

2022: 4
2023: 0
2024: 0
2025: 0
2026: 1

26.06.2026

Muhammara has a NULL pointer dereference in LZWDecode filter when DecodeParms omits EarlyChange key dieser Eintrag

Hoch · 7.5 ghsa-fhp4-pr5j-46m5 < 6.0.5 6.0.5
05.12.2022

muhammara and hummus vulnerable to Unchecked Return Value to NULL Pointer Dereference

Hoch · 7.5 CVE-2022-41957 >= 3.0.0, < 3.4.0, < 2.6.2 3.4.0, 2.6.2
02.11.2022

Unchecked Return Value to NULL Pointer Dereference in PDFDocumentHandler.cpp

Hoch · 7.5 CVE-2022-39381 < 2.6.0 2.6.0
01.11.2022

muhammara and hummus vulnerable to denial of service by NULL pointer dereference

Hoch · 7.5 CVE-2022-25892 < 2.6.1, >= 3.0.0, < 3.1.1 2.6.1, 3.1.1
01.11.2022

muhammara and hummus vulnerable to null pointer dereference on bad response object

Hoch · 7.5 CVE-2022-25885 < 2.6.0 2.6.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden