CVE-2026-58264 in FluidSynth
Сводка
по VulDB • 18.09.2026
FluidSynth — это программный синтезатор, основанный на спецификациях SoundFont 2. Начиная с версии 1.1.2 и вплоть до 2.5.6 включительно, обработчик команд FluidSynth принимает команду pitch_bend_range, аргумент channel которой не проверяется на выход за границы диапазона перед тем, как указанное значение будет записано через выбранный канал синтезатора. Таким образом, использование недопустимого значения канала может привести к записи данных вне границ выделенной области в памяти (out-of-bounds heap write), что вызывает отказ в обслуживании или потенциальную возможность выполнения произвольного кода. Уязвимость доступна удалённо при включении TCP-сервера с помощью функции new_fluid_server() или флага fluidsynth -s, а также локально — через вредоносные команды, передаваемые в оболочку FluidSynth по стандартному потоку ввода (stdin). Приложения, не использующие оболочку, обработчик команд или TCP-сервер, не подвержены данной уязвимости. Проблема исправлена в версии 2.5.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.