CVE-2026-41210 in Moonlight Qt
Riassunto
di VulDB • 13/10/2026
Moonlight Qt è un client GameStream per Windows, macOS, Linux e Steam Link. Nelle versioni 6.1.0 e precedenti, dopo che una vittima avvia una sessione di streaming verso un host malevolo, l'host può inviare un NAL SPS H.264 manipolato quando Moonlight seleziona un percorso del decoder che non annuncia CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. Il percorso di correzione dell'SPS in app/streaming/video/ffmpeg.cpp analizza i dati forniti dal server con h264bitstream, dove seq_parameter_set_id controllato dall'attaccante viene utilizzato per indicizzare la tabella sps a 32 voci senza alcuna validazione. Un valore pari o superiore a 32 provoca una scrittura fuori dai limiti (out-of-bounds write) e un corrupting dell'heap in remoto nel client Moonlight. L'impatto dimostrato è un crash affidabile del client, mentre l'esecuzione di codice non viene stabilita. Questo problema è risolto nella versione 6.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.