Vulnerabilidades de Richardhbtz

soundcloud-rpc é um cliente do SoundCloud com Discord Rich Presence, Dark Mode, suporte a Last.fm e AdBlock. Antes da versão 0.1.8, um título de faixa contendo um payload HTML era executado localmente no aplicativo Electron. Isso significa que metadados de faixas do SoundCloud controlados por um atacante podem levar à execução local de comandos na máquina do usuário. O aplicativo expõe uma API de preload (window.soundcloudAPI.sendTrackUpdate) à página remota do SoundCloud. Os metadados de faixas do SoundCloud são tratados como confiáveis e encaminhados via IPC ao processo principal do Electron. Em seguida, o app renderiza esses metadados como HTML bruto em views privilegiadas do Electron que têm integração com Node.js habilitada. Esta vulnerabilidade está corrigida na versão 0.1.8.