В Sunshine для Windows обнаружены две локальные уязвимости, затрагивающие версию v2025.122.141614 и, возможно, более ранние версии. Эти уязвимости могут позволить злоумышленникам выполнять произвольный код и получать повышенные привилегии в скомпрометированных системах. Sunshine — это саморазмещенный хост для потоковой передачи игр для Moonlight. Первая уязвимость, CVE-2025-10198, представляет собой проблему с не заключенным в кавычки путем службы. Это позволяет локальному злоумышленнику разместить вредоносный исполняемый файл в каталоге в пути службы. При запуске службы она будет выполнять вредоносный код с повышенными привилегиями. Вторая уязвимость, CVE-2025-10199, представляет собой ошибку перехвата порядка поиска DLL. Это означает, что злоумышленник может поместить вредоносную DLL в доступный для записи пользователем каталог в переменной среды PATH. Затем приложение может загрузить эту вредоносную DLL, что приведет к выполнению произвольного кода. CVE-2025-10198 позволяет повысить привилегии до SYSTEM, что позволяет полностью скомпрометировать машину. CVE-2025-10199 позволяет выполнять вредоносный код в контексте пользователя. Пользователи должны применить обновление от проекта Sunshine, когда оно станет доступным. До тех пор пользователи могут смягчить эти проблемы, убедившись, что в PATH нет доступных для записи пользователем каталогов. Они также должны заключать в кавычки все пути служб в конфигурациях служб Windows. Наконец, ограничение разрешений на каталоги, связанные со службами, может предотвратить несанкционированное размещение файлов.