CVE-2026-44482: soundcloud-rpc: XSS em Título de Faixa Leva à Execução de Código no App Electron
As versões do soundcloud-rpc anteriores à 0.1.8 renderizam títulos de faixas do SoundCloud como HTML bruto em views do Electron com integração Node.js habilitada, o que pode levar à execução de comandos na máquina do usuário. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9.6, e informa que ela está corrigida na 0.1.8. As fontes consultadas não mostram exploração confirmada, e a CVE não consta no catálogo CISA KEV.
Visão geral
O soundcloud-rpc é um cliente do SoundCloud que adiciona Discord Rich Presence, Dark Mode, suporte a Last.fm e AdBlock. De acordo com o aviso do GitHub, títulos de faixas contendo HTML eram executados dentro do aplicativo Electron nas versões anteriores à 0.1.8. O problema está na forma como os metadados recebidos da página do SoundCloud são confiados e exibidos.
Impacto
- O aviso descreve execução local de comandos na máquina do usuário quando metadados de faixas controlados por um atacante são processados.
- O vetor CVSS 3.1 do registro indica alto impacto na confidencialidade, integridade e disponibilidade, com escopo alterado e necessidade de interação do usuário.
- O registro também classifica o impacto técnico no SSVC como total.
Produtos e versões afetadas
- O produto afetado é listado como Richardhbtz Soundcloud-rpc, nas versões anteriores à 0.1.8.
- O campo de correções do registro está vazio, mas a descrição informa que a vulnerabilidade está corrigida na versão 0.1.8.
Status de exploração
A CVE não consta no catálogo CISA KEV e o registro não menciona exploração ativa. A probabilidade EPSS é 0.00614, com percentil de 0.48012, datada de 2026-10-13. O campo de exploração SSVC está como none e o campo automatizável como no. Nas fontes consultadas não há exploração confirmada.
Correção e mitigação
- Atualize o soundcloud-rpc para a versão 0.1.8 ou posterior, conforme informado no aviso.
- Enquanto a atualização não for aplicada, trate o aplicativo como não confiável, limite seu uso e considere removê-lo de sistemas sensíveis.
- Desenvolvedores de aplicativos Electron semelhantes devem evitar renderizar conteúdo não confiável como HTML e manter a integração com Node.js desabilitada em views que exibem conteúdo remoto.
Orientações de detecção
- Inventarie os endpoints com instalações do soundcloud-rpc e registre suas versões.
- Revise os endpoints que executam o aplicativo em busca de processos filhos inesperados, gravações incomuns de arquivos ou tráfego de rede de saída suspeito associado ao app.
Limitações das informações disponíveis
- O registro não possui campo estruturado de versão corrigida, e seu status na fonte é Deferred.
- As fontes não descrevem prova de conceito ou código de exploração público, então a existência deles é desconhecida.
- O número de instalações afetadas e as condições exatas de exploração, além do que consta no texto do aviso, são desconhecidos.
Perguntas frequentes
Quais versões do soundcloud-rpc são afetadas?
O registro lista as versões anteriores à 0.1.8 como afetadas. A descrição informa que a vulnerabilidade está corrigida na versão 0.1.8.
Esta CVE está sendo explorada na prática?
A CVE não consta no catálogo CISA KEV e as fontes consultadas não mostram exploração confirmada. O campo de exploração SSVC está como none.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.