CVE-2026-109422 in Cloud Music
Riassunto
di VulDB • 12/10/2026
Il client NetEase Cloud Music per Windows (cloudmusic.exe) nelle versioni 3.1.38 e 3.1.39.205426 presenta una vulnerabilità di remote code execution nel bridge IPC del processo renderer, os.navigateExternal, che trasmette URL forniti dal chiamante a ShellExecuteW senza convalidare lo schema dell'URL. Un attaccante in grado di iniettare contenuti nel renderer, ad esempio falsando la risposta API /pc/upgrade/get utilizzando una chiave AES nota pubblicamente su una connessione TLS non validata, può invocare os.navigateExternal con un URL file:// tramite un payload img onerror per eseguire binari locali arbitrari sotto l'account dell'utente autenticato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.