Skip to main content
WebguneWebgunebeta
Pricing
Toutes les failles

MoyenneCVE-2026-116679October 27, 2026

Neko : Contournement d'autorisation dans la gestion des entrées WebRTC héritées

Exploitable dans des cas précis ou avec un impact limité : à corriger à la prochaine mise à jour.

Sévérité
Moyenne5.4 / 10
Publiée le
October 27, 2026
Mise à jour
October 27, 2026

L'avis

Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.

Impact

Lorsque le mode legacy est activé et que session.implicit_hosting est activé, le canal de données WebRTC legacy autorise incorrectement les événements d'entrée en raison d'une erreur logique dans LegacyIsHost().

En conséquence, un membre authentifié d'une pièce pourrait être en mesure d'envoyer des entrées souris et clavier via le canal de contrôle WebRTC legacy, même lorsque les contrôles sont verrouillés ou que le membre ne serait sinon pas autorisé via l'API de contrôle moderne.

Le problème affecte uniquement le chemin d'entrée WebRTC legacy. Le chemin de contrôle HTTP/WebSocket moderne applique correctement les vérifications d'autorisation et n'est pas affecté.

Pour exploiter ce problème, un attaquant doit :

  • Être authentifié en tant que membre d'une pièce.
  • Établir avec succès une connexion WebRTC.
  • Accéder à un déploiement utilisant le gestionnaire d'entrée WebRTC legacy.

Aucun accès non authentifié ni élévation de privilège en dehors de l'application n'est possible.

Patches

Le problème a été corrigé dans v3.1.5 (new window) en corrigeant la logique d'autorisation dans le gestionnaire WebRTC legacy.

Les utilisateurs doivent mettre à jour vers la v3.1.5 (new window) ou une version plus récente. Correction : 395ca1a (new window)

Workarounds

Les utilisateurs qui ne peuvent pas mettre à jour immédiatement peuvent atténuer le problème par l'une des méthodes suivantes :

  • Désactiver le mode legacy s'il n'est pas nécessaire.
  • Désactiver l'hébergement implicite (session.implicit_hosting=false).
  • Restreindre l'accès aux utilisateurs authentifiés de confiance.
Credits

Merci à @KasperBuilds pour avoir signalé cette vulnérabilité de manière responsable et pour avoir pris contact directement. Cette contribution a aidé à renforcer le projet, et l'ensemble de la communauté en bénéfice.

Composants touchés

ComposantVersions touchéesCorrigé en
github.com/m1k1o/neko/serverGo>= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b0.0.0-20260805142851-395ca1a6f62b

Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.

Neko: Authorization bypass in legacy WebRTC input handling

Impact

When legacy mode is enabled and session.implicit_hosting is enabled, the legacy WebRTC data channel incorrectly authorizes input events due to a logic error in LegacyIsHost().

As a result, an authenticated room member may be able to send mouse and keyboard input through the legacy WebRTC control channel even when controls are locked or the member would otherwise not be authorized through the modern control API.

The issue affects only the legacy WebRTC input path. The modern HTTP/WebSocket control path correctly enforces authorization checks and is not affected.

To exploit this issue, an attacker must:

  • Be authenticated as a room member.
  • Successfully establish a WebRTC connection.
  • Access a deployment using the legacy WebRTC input handler.

No unauthenticated access or privilege escalation outside the application is possible.

Patches

The issue has been fixed in v3.1.5 (new window) by correcting the authorization logic in the legacy WebRTC handler.

Users should upgrade to v3.1.5 (new window) or later. Fix: 395ca1a (new window)

Workarounds

Users who cannot immediately upgrade can mitigate the issue by one of the following:

  • Disable legacy mode if it is not required.
  • Disable implicit hosting (session.implicit_hosting=false).
  • Restrict access to trusted authenticated users.
Credits

Thanks to @KasperBuilds for responsibly disclosing this vulnerability and reaching out directly. This contribution helped strengthen the project, and the whole community benefits from it.

Catégorie : Incorrect Authorization (CWE-863)

Vecteur CVSS : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

  • github.comhttps://github.com/m1k1o/neko/security/advisories/GHSA-5cp7-fp4j-wwcv
  • nvd.nist.govhttps://nvd.nist.gov/vuln/detail/CVE-2026-116679
  • github.comhttps://github.com/m1k1o/neko/pull/675
  • github.comhttps://github.com/m1k1o/neko/commit/395ca1a6f62b7b0e270e654d366a2d57b8042efd
  • github.comhttps://github.com/m1k1o/neko/releases/tag/v3.1.5
  • github.comhttps://github.com/advisories/GHSA-5cp7-fp4j-wwcv
WebguneWebgune

The all-in-one sovereign cloud, built and hosted in France.

DiscordDiscordGitHubGitHub
+33 (0)9 72 23 25 00support@webgune.cloud

Product

  • Features
  • Pricing
  • Comparison
  • Changelog
  • Status
  • Vulnerabilities (CVE)
  • Contact

Developers

  • Documentation
  • Frameworks
  • API Reference
  • Examples
  • CLI
  • Tools & VS Code

Legal

  • Terms of Service (CGS)
  • Privacy policy
  • Legal notices
  • Accessibility
  • GDPR
  • DPA
  • Acceptable Use Policy

© 2026 KX712. All rights reserved. Webgune is a KX712 service.

Payments:VisaMasterCardAmerican ExpressApple PayGoogle PaySEPABancontact