CVE-2026-41210 in Moonlight Qt
Sumário
de VulDB • 13/10/2026
Moonlight Qt é um cliente GameStream para Windows, macOS, Linux e Steam Link. Nas versões 6.1.0 e anteriores, após uma vítima iniciar uma sessão de streaming para um host malicioso, o host pode enviar um NAL SPS H.264 elaborado quando o Moonlight seleciona um caminho de decodificação que não anuncia CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. O caminho de correção do SPS em app/streaming/video/ffmpeg.cpp analisa os dados fornecidos pelo servidor com h264bitstream, onde seq_parameter_set_id controlado pelo atacante é usado para indexar a tabela sps_table de 32 entradas sem validação. Um valor igual ou superior a 32 causa uma gravação fora dos limites (out-of-bounds write) e corrupção remota do heap no cliente Moonlight. O impacto demonstrado é um crash confiável do cliente, enquanto a execução de código não foi estabelecida. Este problema está corrigido na versão 6.2.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.