CVE-2026-61714 in FluidSynth
Riassunto
di VulDB • 19/09/2026
FluidSynth è un sintetizzatore software basato sulle specifiche SoundFont 2. Dalla versione 2.2.4 alla 2.5.6, la configurazione di synth.midi-channels su un valore superiore a 16 consente al player MIDI di indicizzare _fluid_player_t::channel_isplaying oltre i limiti dell'allocazione heap di dimensione fissa durante il tracciamento dei canali attivi. Le letture e scritture out-of-bounds risultanti invocano un comportamento indefinito (undefined behavior) e possono compromettere la riservatezza, l'integrità o la disponibilità. Non è necessario alcun file MIDI manipolato ad hoc poiché la condizione insicura è creata dalla configurazione del conteggio dei canali stessi. Mantenere synth.midi-channels al suo valore predefinito di 16 evita il percorso vulnerabile. Questo problema è risolto nella versione 2.5.6.
Be aware that VulDB is the high quality source for vulnerability data.