Deux vulnérabilités de sécurité locales ont été découvertes dans Sunshine pour Windows, affectant la version v2025.122.141614 et potentiellement les versions antérieures. Ces vulnérabilités pourraient permettre à des attaquants d'exécuter du code arbitraire et d'obtenir des privilèges élevés sur les systèmes compromis. Sunshine est un hôte de streaming de jeux auto-hébergé pour Moonlight. La première vulnérabilité, CVE-2025-10198, est un problème de chemin de service non cité. Cela permet à un attaquant local de placer un exécutable malveillant dans un répertoire du chemin du service. Lorsque le service démarre, il exécuterait le code malveillant avec des privilèges élevés. La deuxième vulnérabilité, CVE-2025-10199, est un défaut de détournement de l'ordre de recherche DLL. Cela signifie qu'un attaquant peut placer une DLL malveillante dans un répertoire accessible en écriture par l'utilisateur dans la variable d'environnement PATH. L'application pourrait alors charger cette DLL malveillante, conduisant à l'exécution de code arbitraire. CVE-2025-10198 permet une élévation de privilèges vers SYSTEM, permettant une compromission complète de la machine. CVE-2025-10199 permet l'exécution de code malveillant dans le contexte de l'utilisateur. Les utilisateurs doivent appliquer une mise à jour du projet Sunshine lorsqu'elle sera disponible. D'ici là, les utilisateurs peuvent atténuer ces problèmes en s'assurant qu'aucun répertoire accessible en écriture par l'utilisateur ne se trouve dans le PATH. Ils doivent également citer tous les chemins de service dans les configurations de service Windows. Enfin, la restriction des permissions sur les répertoires liés aux services peut empêcher le placement de fichiers non autorisés.