CVE-2026-109424

Nome do Software Vulnerável e Versões Afetadas NetEase Cloud Music client for Windows (cloudmusic.exe) versões 3.1.38 through 3.1.39.205426

Description O aplicativo utiliza uma chave AES-128-ECB fixa e publicamente documentada para descriptografar corpos de resposta dos endpoints de API '/eapi/' e '/xeapi/'. Como não há credencial de integridade, um invasor capaz de interceptar ou originar respostas do servidor pode criar textos cifrados válidos usando preenchimento PKCS#7. Isso permite que o cliente aceite respostas de API forjadas, que podem ser usadas como etapa para explorações adicionais, como o acesso à ponte os.navigateExternal.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.