CVE-2026-41210 in Moonlight Qt
Résumé
par VulDB • 13/10/2026
Moonlight Qt est un client GameStream pour Windows, macOS, Linux et Steam Link. Dans les versions 6.1.0 et antérieures, après qu'une victime a initié une session de streaming vers un hôte malveillant, celui-ci peut envoyer un NAL SPS H.264 fabriqué lorsque Moonlight sélectionne un chemin de décodeur qui ne publie pas CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. Le chemin de correction du SPS dans app/streaming/video/ffmpeg.cpp analyse les données fournies par le serveur avec h264bitstream, où l'identifiant seq_parameter_set_id contrôlé par l'attaquant est utilisé pour indexer la sps_table à 32 entrées sans validation. Une valeur supérieure ou égale à 32 provoque une écriture hors limites et une corruption de heap distante sur le client Moonlight. L'impact démontré est un plantage fiable du client, tandis que l'exécution de code n'est pas établie. Ce problème est corrigé dans la version 6.2.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.