Saltar al contenido principal
WebguneWebgunebeta
Precios
Toutes les failles

MoyenneCVE-2026-11667927 de octubre de 2026

Neko : Contournement d'autorisation dans la gestion des entrées WebRTC héritées

Exploitable dans des cas précis ou avec un impact limité : à corriger à la prochaine mise à jour.

Sévérité
Moyenne5.4 / 10
Publiée le
27 de octubre de 2026
Mise à jour
27 de octubre de 2026

L'avis

Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.

Impact

Lorsque le mode legacy est activé et que session.implicit_hosting est activé, le canal de données WebRTC legacy autorise incorrectement les événements d'entrée en raison d'une erreur logique dans LegacyIsHost().

En conséquence, un membre authentifié d'une pièce pourrait être en mesure d'envoyer des entrées souris et clavier via le canal de contrôle WebRTC legacy, même lorsque les contrôles sont verrouillés ou que le membre ne serait sinon pas autorisé via l'API de contrôle moderne.

Le problème affecte uniquement le chemin d'entrée WebRTC legacy. Le chemin de contrôle HTTP/WebSocket moderne applique correctement les vérifications d'autorisation et n'est pas affecté.

Pour exploiter ce problème, un attaquant doit :

  • Être authentifié en tant que membre d'une pièce.
  • Établir avec succès une connexion WebRTC.
  • Accéder à un déploiement utilisant le gestionnaire d'entrée WebRTC legacy.

Aucun accès non authentifié ni élévation de privilège en dehors de l'application n'est possible.

Patches

Le problème a été corrigé dans v3.1.5 (nueva ventana) en corrigeant la logique d'autorisation dans le gestionnaire WebRTC legacy.

Les utilisateurs doivent mettre à jour vers la v3.1.5 (nueva ventana) ou une version plus récente. Correction : 395ca1a (nueva ventana)

Workarounds

Les utilisateurs qui ne peuvent pas mettre à jour immédiatement peuvent atténuer le problème par l'une des méthodes suivantes :

  • Désactiver le mode legacy s'il n'est pas nécessaire.
  • Désactiver l'hébergement implicite (session.implicit_hosting=false).
  • Restreindre l'accès aux utilisateurs authentifiés de confiance.
Credits

Merci à @KasperBuilds pour avoir signalé cette vulnérabilité de manière responsable et pour avoir pris contact directement. Cette contribution a aidé à renforcer le projet, et l'ensemble de la communauté en bénéfice.

Composants touchés

ComposantVersions touchéesCorrigé en
github.com/m1k1o/neko/serverGo>= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b0.0.0-20260805142851-395ca1a6f62b

Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.

Neko: Authorization bypass in legacy WebRTC input handling

Impact

When legacy mode is enabled and session.implicit_hosting is enabled, the legacy WebRTC data channel incorrectly authorizes input events due to a logic error in LegacyIsHost().

As a result, an authenticated room member may be able to send mouse and keyboard input through the legacy WebRTC control channel even when controls are locked or the member would otherwise not be authorized through the modern control API.

The issue affects only the legacy WebRTC input path. The modern HTTP/WebSocket control path correctly enforces authorization checks and is not affected.

To exploit this issue, an attacker must:

  • Be authenticated as a room member.
  • Successfully establish a WebRTC connection.
  • Access a deployment using the legacy WebRTC input handler.

No unauthenticated access or privilege escalation outside the application is possible.

Patches

The issue has been fixed in v3.1.5 (nueva ventana) by correcting the authorization logic in the legacy WebRTC handler.

Users should upgrade to v3.1.5 (nueva ventana) or later. Fix: 395ca1a (nueva ventana)

Workarounds

Users who cannot immediately upgrade can mitigate the issue by one of the following:

  • Disable legacy mode if it is not required.
  • Disable implicit hosting (session.implicit_hosting=false).
  • Restrict access to trusted authenticated users.
Credits

Thanks to @KasperBuilds for responsibly disclosing this vulnerability and reaching out directly. This contribution helped strengthen the project, and the whole community benefits from it.

Catégorie : Incorrect Authorization (CWE-863)

Vecteur CVSS : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

  • github.comhttps://github.com/m1k1o/neko/security/advisories/GHSA-5cp7-fp4j-wwcv
  • nvd.nist.govhttps://nvd.nist.gov/vuln/detail/CVE-2026-116679
  • github.comhttps://github.com/m1k1o/neko/pull/675
  • github.comhttps://github.com/m1k1o/neko/commit/395ca1a6f62b7b0e270e654d366a2d57b8042efd
  • github.comhttps://github.com/m1k1o/neko/releases/tag/v3.1.5
  • github.comhttps://github.com/advisories/GHSA-5cp7-fp4j-wwcv
WebguneWebgune

La nube soberana todo en uno, diseñada y alojada en Francia.

DiscordDiscordGitHubGitHub
+33 (0)9 72 23 25 00support@webgune.cloud

Producto

  • Funcionalidades
  • Precios
  • Comparativa
  • Changelog
  • Estado
  • Vulnerabilidades (CVE)
  • Contacto

Desarrolladores

  • Documentación
  • Frameworks
  • Referencia API
  • Ejemplos
  • CLI
  • Herramientas y VS Code

Legal

  • Condiciones de uso
  • Política de privacidad
  • Aviso legal
  • Accesibilidad
  • RGPD
  • DPA
  • Política de uso aceptable

© 2026 KX712. Todos los derechos reservados. Webgune es un servicio de KX712.

Pagos:VisaMasterCardAmerican ExpressApple PayGoogle PaySEPABancontact