CVE-2026-116679

ŚrednieCVSS 5.4

Opublikowano: 27/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

W Neko od wersji 3.0.0 do 3.1.5 wdrożenia z trybem legacy i włączonym session.implicit_hosting nieprawidłowo autoryzują dane wejściowe kanału danych WebRTC, ponieważ LegacyIsHost() błędnie ocenia status hosta. Uwierzytelniony członek pokoju może wysyłać zdarzenia myszy i klawiatury przez kanał sterowania legacy, gdy kontrolki są zablokowane.

Ocena ryzyka

Nieuprawniony członek pokoju może przejąć kontrolę nad przeglądarką hosta mimo zablokowanych kontrolek, co narusza izolację sesji.

Rekomendacja

Zaktualizuj Neko do wersji 3.1.5, która naprawia ten problem.

Inne podatności w Neko

CVE-2026-39386Wysokie
Neko (self-hosted wirtualna przeglądarka w Dockerze z WebRTC) w wersjach 3.0.0–3.0.10 i 3.1.0–3.1.1 pozwala każdemu uwierzytelnionemu użytkownikowi natychmiast uzyskać pełną kontrolę administracyjną nad instancją. Umożliwia to zarządzanie członkami, ustawieniami pokoi, transmisją i sesjami, prowadząc do całkowitego przejęcia instancji. Podatność naprawiono w wersjach 3.0.11 i 3.1.2.

Oryginalny opis (angielski, źródło NVD)

Neko is a a self-hosted virtual browser that runs in Docker and uses WebRTC. From version 3.0.0 until 3.1.5, Neko deployments with legacy mode and session.implicit_hosting enabled incorrectly authorize legacy WebRTC data-channel input because LegacyIsHost() evaluates host status incorrectly. An authenticated room member who establishes a WebRTC connection can send mouse and keyboard events through the legacy control channel while controls are locked or the member is otherwise unauthorized by the modern control API. This issue is fixed in version 3.1.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS