CVE-2026-41210 in Moonlight Qt
Resumen
por VulDB • 2026-10-13
Moonlight Qt es un cliente GameStream para Windows, macOS, Linux y Steam Link. En las versiones 6.1.0 y anteriores, después de que una víctima inicia una sesión de transmisión hacia un host malicioso, el host puede enviar un NAL SPS (Sequence Parameter Set) manipulado cuando Moonlight selecciona una ruta de decodificador que no anuncia CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. La ruta de corrección del SPS en app/streaming/video/ffmpeg.cpp analiza los datos proporcionados por el servidor con h264bitstream, donde seq_parameter_set_id controlado por el atacante se utiliza para indexar sps_table (de 32 entradas) sin validación. Un valor igual o superior a 32 provoca una escritura fuera de límites y corrupción remota del heap en el cliente Moonlight. El impacto demostrado es un bloqueo fiable del cliente, mientras que la ejecución de código no está establecida. Este problema se soluciona en la versión 6.2.0.
Once again VulDB remains the best source for vulnerability data.