CVE catalog

CVE-2025-12474

jpeg-xl: CVE-2025-12474

[CVE catalog]

Severity
Medium · CVSS 6.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Published
Source
[NVD] · [CVE record]
EPSS
0.11% · Oct 25, 2026

A specially-crafted file can cause libjxl's decoder to read pixel data from uninitialized (but allocated) memory. This can be done by causing the decoder to reference an outside-image-bound area in a subsequent patches. An incorrect optimization causes the decoder to omit populating those areas.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianjpeg-xlsid0.11.2-5.1fixed
Debianjpeg-xlforky0.11.2-5.1fixed
Debianjpeg-xltrixie0.11.2-0.1~deb13u2fixed
Debianjpeg-xltrixie-security0.11.2-0.1~deb13u3fixed
Debianjpeg-xlbookworm0.7.0-10+deb12u1vulnerable
Debianjpeg-xlbookworm-security0.7.0-10+deb12u1vulnerable
Opensuselibjxltumbleweed0.11.2-2.1fixed
Suselibjxllinux enterprise server 16.00.11.2-160000.1.1fixed
Suselibjxllinux enterprise server for sap applications 16.00.11.2-160000.1.1fixed
Opensuselibjxlleap 16.00.11.2-160000.1.1fixed
Suselibjxllinux enterprise module for package hub 15 sp70.10.3-150700.4.6.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianjpeg-xlsourcesid0.11.2-0.1not yet assignedNot reported[1128068]
Debianjpeg-xlsourceforky0.11.2-0.1not yet assignedNot reported[1128068]
Debianjpeg-xlsourcetrixie0.11.2-0.1~deb13u1not yet assignedNot reported[1128068]
Debianjpeg-xlsourcebookworm(unfixed)not yet assignedNot reported[1128068]
Opensuselibjxlrpmtumbleweed0.11.2-2.1Not reportedOPENSUSE-SU-2026:10910-1Not reported
Suselibjxlrpmlinux enterprise server 16.00.11.2-160000.1.1Not reportedSUSE-SU-2026:20903-1Not reported
Suselibjxlrpmlinux enterprise server for sap applications 16.00.11.2-160000.1.1Not reportedSUSE-SU-2026:20903-1Not reported
Opensuselibjxlrpmleap 16.00.11.2-160000.1.1Not reportedOPENSUSE-SU-2026:20385-1Not reported
Suselibjxlrpmlinux enterprise module for package hub 15 sp70.10.3-150700.4.6.1Not reportedSUSE-SU-2026:0648-1Not reported

[Debian bug #1128068]

Notes

[bookworm] jpeg-xl: Minor issue; can be fixed via next point release

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [jpeg-xl-doc]Affected

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · all · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · all · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · all · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · all · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

  • [libjpegxl-java]Affected

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

  • [libjxl0.7]Affected

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

  • [libjxl-dev]Affected

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

  • [libjxl-devtools]Affected

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

  • [libjxl-tools]Affected

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Affected

      dsa · jpeg-xl · debian · bookworm; dsa · jpeg-xl · debian · 12

[openSUSE Tumbleweed]

  • [libjxl0_12]Unknown

    Source package: [libjxl]

    Details (1)

    • 0.12.0-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 0.11.2-2.1

      Version impact unknown

      dsa · libjxl · opensuse · tumbleweed

  • [libjxl0_12-32bit]Unknown

    Source package: [libjxl]

    Details (1)

    • 0.12.0-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 0.11.2-2.1

      Version impact unknown

      dsa · libjxl · opensuse · tumbleweed

  • [libjxl0_12-x86-64-v3]Unknown

    Source package: [libjxl]

    Details (1)

    • 0.12.0-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 0.11.2-2.1

      Version impact unknown

      dsa · libjxl · opensuse · tumbleweed

  • [libjxl-devel]Unknown

    Source package: [libjxl]

    Details (1)

    • 0.12.0-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 0.11.2-2.1

      Version impact unknown

      dsa · libjxl · opensuse · tumbleweed

  • [libjxl-tools]Unknown

    Source package: [libjxl]

    Details (1)

    • 0.12.0-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 0.11.2-2.1

      Version impact unknown

      dsa · libjxl · opensuse · tumbleweed

[Debian 13 (Trixie)]

  • [jpeg-xl-doc]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · all · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · all · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · all · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · all · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · all · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

  • [libjpegxl-java]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

  • [libjxl0.11]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

  • [libjxl-dev]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

  • [libjxl-devtools]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

  • [libjxl-gdk-pixbuf]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

  • [libjxl-tools]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.11.2-0.1~deb13u1

      dsa · jpeg-xl · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]