FLTK 1.4.5 BMP 兩項堆疊緩衝區溢位漏洞

2026年10月27日，安全研究人員發現 FLTK 1.4.5 版存在兩項堆疊緩衝區溢位漏洞，分別編號 CVE-2026-116723 與 CVE-2026-116724。

• 第一項漏洞（CVE-2026-116723）源於 BMP 檔案的 colors_used 欄位若設為極大值，會導致程式在解析時寫入超過緩衝區大小的資料，進而使程式崩潰或允許攻擊者執行任意程式碼。
• 第二項漏洞（CVE-2026-116724）則是 Fl_BMP_Image 模組中存在整數溢位，當解析 BMP 檔案時，計算出的緩衝區大小被低估，導致同樣的堆疊緩衝區溢位。
• 兩項漏洞均已被研究者驗證，並有相應的 PoC 供測試。
• 受影響的產品為 FLTK 1.4.5 版，若系統或應用程式使用此版本，存在被遠端攻擊者利用的風險。
• 至今官方尚未發布修補版本，建議使用者暫時避免處理不受信任的 BMP 檔案，或升級至更新的 FLTK 版本以降低風險。