CVE-2026-63409
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Deskflow od wersji 1.17.0 do ciągłej kompilacji 1.26.0.296 zawiera podatność, gdzie złośliwy serwer Deskflow może wysłać wektor DSOP o nieparzystej długości, powodując odczyt poza zakresem i awarię połączonego klienta.
Ocena ryzyka
Zdalny atakujący może spowodować awarię klienta, co może prowadzić do przerwania pracy lub potencjalnie do dalszych ataków.
Rekomendacja
Zaleca się aktualizację Deskflow do ciągłej kompilacji 1.26.0.296 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Deskflow is a keyboard and mouse sharing app. From 1.17.0 until continuous build 1.26.0.296, a malicious Deskflow server can send an odd-length DSOP vector to ServerProxy::setOptions() in src/lib/client/ServerProxy.cpp, causing the missing value after the final option key to be read beyond the vector during the PacketStreamFilter::filterEvent to ServerProxy::handleData() to ServerProxy::parseHandshakeMessage() call chain and crash the connected client. This issue is fixed in continuous build 1.26.0.296.