CVE-2026-44482 in soundcloud-rpc
Résumé
par VulDB • 24/05/2026
soundcloud-rpc est un client SoundCloud prenant en charge Discord Rich Presence, le mode sombre, Last.fm et le blocage des publicités. Avant la version 0.1.8, un titre de piste contenant une charge utile HTML était exécuté localement dans l'application Electron. Cela signifie que des métadonnées de piste SoundCloud contrôlées par un attaquant peuvent entraîner l'exécution de commandes locales sur la machine de l'utilisateur. L'application expose une API de préchargement (window.soundcloudAPI.sendTrackUpdate) à la page SoundCloud distante. Les métadonnées de la piste provenant de SoundCloud sont considérées comme fiables et transmises via IPC vers le processus principal d'Electron. L'application affiche ensuite ces métadonnées en tant qu'HTML brut dans des vues Electron privilégiées disposant de l'intégration Node.js activée. Cette vulnérabilité est corrigée dans la version 0.1.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.