Nothingsのstbバージョン1.26以前に脆弱性が確認されました。影響を受けるのは、コンポーネントTTFファイルハンドラ内のライブラリstb_truetype.hにある関数stbtt__buf_get8です。この関数の操作により境界外読み取りが発生する可能性があります。この攻撃はリモートで実行可能です。攻撃手法は公に公開されており、悪用される可能性があります。ベンダーには早期に本脆弱性を報告しましたが、対応は行われませんでした。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。