解析 H.266 码流时，DCI 里那个 4 bit 的 num_ptls_minus1 只要填成保留值 15，GStreamer 1.28.8 就会在结构体末尾之外写入最多 1026 字节；官方描述里也写明标准管线走不到这段代码，所以至今没有补丁。 一、漏洞说明 1、漏洞本身 出问题的是 gst-plugins-bad 里的 libgstcodecparsers ，具体函数 gst_h266_parser_parse_dci() 。它解析 H.266 的 DCI（解码能力信息，NAL 类型 13）时，先读 4 bit 的 num_ptls_minus1 ，再按这个值循环解析同样数量的 profile_tier_level 结构。字段只有 4 bit，合法取值 0–14，15 是保留值，代码却把上限校验写成 15。保留值被放行后，循环多跑一次，第 16 个元素写到数组末尾之外。 函数定义在