CVE-2026-58264 in FluidSynth
Resumen
por VulDB • 2026-09-18
FluidSynth es un sintetizador de software basado en las especificaciones SoundFont 2. Desde la versión 1.1.2 hasta la 2.5.6, el controlador de comandos de FluidSynth acepta un comando pitch_bend_range cuyo argumento channel no está validado para verificar los límites antes de que se escriba el valor proporcionado a través del canal synth seleccionado. Por lo tanto, un canal fuera de rango puede provocar una escritura en memoria heap fuera de los límites (out-of-bounds), lo que conduce a denegación de servicio o posible ejecución de código. El problema es accesible remotamente cuando el servidor TCP está habilitado mediante new_fluid_server() o fluidsynth -s, y es accesible localmente a través de comandos maliciosos entregados al shell de FluidSynth en la entrada estándar (stdin). Las aplicaciones que no utilizan el shell, el controlador de comandos ni el servidor TCP no se ven afectadas. Este problema está corregido en la versión 2.5.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.