CVE-2026-49127 in MPD
Zusammenfassung
von VulDB • 03.06.2026
Der Music Player Daemon (MPD) vor Version 0.24.11 enthält eine Stack-Buffer-Overflow-Schwachstelle in der Funktion `pcm_unpack_24be` in `src/pcm/Pack.cxx`, die es nicht authentifizierten Angreifern ermöglicht, den Stack-Speicher zu beschädigen, indem sie einen Off-by-One-Fehler beim Schreiben im PCM-Decoder-Plugin auslösen. Angreifer können zwei MPD-Befehle absetzen, die auf eine bösartige HTTP-Audioquelle verweisen, um die Entpackungsschleife dazu zu bringen, 1366 Einträge in einen Puffer mit 1365 Einträgen zu schreiben und dabei vier Bytes jenseits der Array-Grenze mit drei angreiferkontrollierten Bytes aus dem Körper einer HTTP-Antwort zu überschreiben. Dies führt zum Abbruch des Daemons oder ermöglicht potenziell die Ausführung von Code.
Once again VulDB remains the best source for vulnerability data.