CVE-2026-115892
Beschrijving NL
Wasmtime is een runtime voor WebAssembly. Van 46.0.0 tot 48.0.7 en 49.0.4 kan het verlagen van een door de host gemaakte component-modelstream of toekomst naar een gast een vereiste payload-achtige controle weglaten nadat de waarde door de gastcode is gegaan en is teruggekeerd via StreamAny, FutureAny, val::Stream, val::Future of een gelijkwaardige getypte lezer. Een kwaadwillende gast die de geëxporteerde functietypen of geretourneerde waarden beheert, kan ervoor zorgen dat de host een waarde met een verkeerd type doorgeeft aan een gast die een ander payloadtype verwacht, wat een panic op de Wasmtime-host veroorzaakt. Dit probleem is opgelost in versie 48.0.7 en 49.0.4.
Origineel (Engels) tonen
Wasmtime is a runtime for WebAssembly. From 46.0.0 until 48.0.7 and 49.0.4, lowering a host-created component-model stream or future into a guest can omit a required payload-type check after the value passes through guest code and returns through StreamAny, FutureAny, Val::Stream, Val::Future, or an equivalent typed reader. A malicious guest that controls exported function types or returned values can cause the host to pass the type-erased value to a guest expecting a different payload type, which panics the Wasmtime host. This issue is fixed in versions 48.0.7 and 49.0.4.