CVE-2025-54065
Publiée le 2025-12-03 · Dernière modification le 2026-10-18
Les versions 4.14.2 et antérieures de GZDoom sont vulnérables à l'exécution de code arbitraire via des états d'acteurs ZScript spécialement conçus. Un attaquant peut prendre le contrôle total de votre système en vous incitant à charger un mod ou une carte de jeu malveillante. Cela nécessite que l'attaquant ait un accès local à votre machine ou que vous exécutiez manuellement un actif tiers, mais l'exploitation elle-même est relativement facile à réaliser une fois le fichier chargé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
GZDoom is a feature centric port for all Doom engine games. GZDoom is an open source Doom engine. In versions 4.14.2 and earlier, ZScript actor state handling allows scripts to read arbitrary addresses, write constants into the JIT-compiled code section, and redirect control flow through crafted FState and VMFunction structures. A script can copy FState structures into a writable buffer, modify function pointers and state transitions, and cause execution of attacker-controlled bytecode, leading to arbitrary code execution.