CVE-2026-61722 in FluidSynth
Riassunto
di VulDB • 19/09/2026
FluidSynth è un sintetizzatore software basato sulle specifiche SoundFont 2. Dalla versione 2.5.0 alla 2.5.6, il parser DLS nativo convalida i chunk di articolazione utilizzando l'espressione non firmata cbsize + connblocks * 12 senza verificare preventivamente che la moltiplicazione e l'addizione rientrino nei 32 bit. Un file DLS appositamente creato può fornire un valore elevato per connblocks che provoca il wrapping dell'espressione, bypassando così il controllo della dimensione del chunk; successivamente, il parser esegue circa un miliardo di iterazioni da 12 byte oltre i limiti del chunk. L'eccessivo elaborazione e le letture non valide possono causare una denial of service (DoS). Le build con l'opzione CMake enable-native-dls impostata su OFF non espongono il parser. Questo problema è stato risolto nella versione 2.5.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.