What is CVE-2026-74767?
Pandora software contains a denial-of-service vulnerability in its handling of DAA (Direct Access Archive) files, where the extraction of an internal ISO image uses zlib.decompress() without enforcing limits on uncompressed data. An attacker can craft a malicious DAA archive to trigger excessive memory consumption, leading to a denial of service. Users should update to the latest patched version or avoid processing untrusted DAA files.
Azərbaycanca: Pandora proqramı DAA (Direct Access Archive) fayllarını emal edərkən, daxili ISO şəklini çıxaran zaman `zlib.decompress()` funksiyasını limitsiz istifadə edir. Bu, təcavüzkara xüsusi hazırlanmış DAA faylı vasitəsilə həddən artıq yaddaş istehlakına səbəb olaraq xidmət əleyhinə (denial-of-service) hücum etməyə imkan verir. Təsirə məruz qalmamaq üçün proqram təminatını ən son versiyaya yeniləmək və ya etibarsız mənbələrdən DAA fayllarını emal etməmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
What function is used without limits in Pandora software, resulting in CVE-2026-74767?
The vulnerability results from the unlimited use of the `zlib.decompress()` function.
What file type is recommended not to be processed from untrusted sources to avoid CVE-2026-74767?
It is recommended not to process DAA (Direct Access Archive) files from untrusted sources.
See also5
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.