CVE-2026-58264 in FluidSynth
Tóm tắt
Bởi VulDB • 18/09/2026
FluidSynth là một phần mềm synthesizer dựa trên các đặc tả SoundFont 2. Từ phiên bản 1.1.2 đến 2.5.6, bộ xử lý lệnh của FluidSynth chấp nhận lệnh pitch_bend_range có đối số kênh (channel) không được kiểm tra giới hạn trước khi giá trị do người dùng cung cấp được ghi qua kênh synthesizer đã chọn. Do đó, một kênh nằm ngoài phạm vi cho phép có thể gây ra việc ghi heap vượt quá vùng nhớ (out-of-bounds heap write), dẫn đến từ chối dịch vụ hoặc thực thi mã độc tiềm năng. Lỗ hổng này có thể khai thác từ xa khi máy chủ TCP được bật thông qua hàm new_fluid_server() hoặc lệnh fluidsynth -s, và có thể khai thác cục bộ thông qua các lệnh độc hại được cung cấp cho shell FluidSynth trên đầu vào tiêu chuẩn (standard input). Các ứng dụng không sử dụng shell, bộ xử lý lệnh hoặc máy chủ TCP thì không bị ảnh hưởng. Lỗ hổng này đã được sửa trong phiên bản 2.5.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.