CVE-2026-58264 in FluidSynth
Zusammenfassung
von VulDB • 19.09.2026
FluidSynth ist ein Software-Synthesizer, der auf den SoundFont-2-Spezifikationen basiert. Von Version 1.1.2 bis 2.5.6 akzeptiert der FluidSynth-Befehlshandler einen pitch_bend_range-Befehl, bei dem das Kanalargument nicht vor dem Schreiben des übergebenen Werts durch den ausgewählten Synth-Kanal auf Gültigkeit überprüft wird (Bounds Checking). Ein Kanalwert außerhalb des zulässigen Bereichs kann daher zu einem out-of-bounds heap write führen, was eine Denial of Service verursachen oder die Ausführung von Code ermöglichen kann. Das Problem ist remote erreichbar, wenn der TCP-Server über new_fluid_server() oder fluidsynth -s aktiviert ist, und lokal erreichbar durch bösartige Befehle, die an die FluidSynth-Shell auf dem Standard-Eingabestream gesendet werden. Anwendungen, die weder die Shell noch den Befehlshandler oder den TCP-Server verwenden, sind nicht betroffen. Dieses Problem wurde in Version 2.5.6 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.