MoyenneCVE-2026-1166792026 d’octòbre 27

Neko : Contournement d'autorisation dans la gestion des entrées WebRTC héritées

Exploitable dans des cas précis ou avec un impact limité : à corriger à la prochaine mise à jour.

Sévérité: Moyenne5.4 / 10
Publiée le: 2026 d’octòbre 27
Mise à jour: 2026 d’octòbre 27

L'avis

Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.

Impact

Lorsque le mode legacy est activé et que session.implicit_hosting est activé, le canal de données WebRTC legacy autorise incorrectement les événements d'entrée en raison d'une erreur logique dans LegacyIsHost().

En conséquence, un membre authentifié d'une pièce pourrait être en mesure d'envoyer des entrées souris et clavier via le canal de contrôle WebRTC legacy, même lorsque les contrôles sont verrouillés ou que le membre ne serait sinon pas autorisé via l'API de contrôle moderne.

Le problème affecte uniquement le chemin d'entrée WebRTC legacy. Le chemin de contrôle HTTP/WebSocket moderne applique correctement les vérifications d'autorisation et n'est pas affecté.

Pour exploiter ce problème, un attaquant doit :

Être authentifié en tant que membre d'une pièce.
Établir avec succès une connexion WebRTC.
Accéder à un déploiement utilisant le gestionnaire d'entrée WebRTC legacy.

Aucun accès non authentifié ni élévation de privilège en dehors de l'application n'est possible.

Patches

Le problème a été corrigé dans v3.1.5 (fenèstra novèla) en corrigeant la logique d'autorisation dans le gestionnaire WebRTC legacy.

Les utilisateurs doivent mettre à jour vers la v3.1.5 (fenèstra novèla) ou une version plus récente. Correction : 395ca1a (fenèstra novèla)

Workarounds

Les utilisateurs qui ne peuvent pas mettre à jour immédiatement peuvent atténuer le problème par l'une des méthodes suivantes :

Désactiver le mode legacy s'il n'est pas nécessaire.
Désactiver l'hébergement implicite (session.implicit_hosting=false).
Restreindre l'accès aux utilisateurs authentifiés de confiance.

Credits

Merci à @KasperBuilds pour avoir signalé cette vulnérabilité de manière responsable et pour avoir pris contact directement. Cette contribution a aidé à renforcer le projet, et l'ensemble de la communauté en bénéfice.

Composants touchés

Composant	Versions touchées	Corrigé en
github.com/m1k1o/neko/serverGo	`>= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b`	`0.0.0-20260805142851-395ca1a6f62b`

Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.

Neko: Authorization bypass in legacy WebRTC input handling

Impact

When legacy mode is enabled and session.implicit_hosting is enabled, the legacy WebRTC data channel incorrectly authorizes input events due to a logic error in LegacyIsHost().

As a result, an authenticated room member may be able to send mouse and keyboard input through the legacy WebRTC control channel even when controls are locked or the member would otherwise not be authorized through the modern control API.

The issue affects only the legacy WebRTC input path. The modern HTTP/WebSocket control path correctly enforces authorization checks and is not affected.

To exploit this issue, an attacker must:

Be authenticated as a room member.
Successfully establish a WebRTC connection.
Access a deployment using the legacy WebRTC input handler.

No unauthenticated access or privilege escalation outside the application is possible.

Patches

The issue has been fixed in v3.1.5 (fenèstra novèla) by correcting the authorization logic in the legacy WebRTC handler.

Users should upgrade to v3.1.5 (fenèstra novèla) or later. Fix: 395ca1a (fenèstra novèla)

Workarounds

Users who cannot immediately upgrade can mitigate the issue by one of the following:

Disable legacy mode if it is not required.
Disable implicit hosting (session.implicit_hosting=false).
Restrict access to trusted authenticated users.

Credits

Thanks to @KasperBuilds for responsibly disclosing this vulnerability and reaching out directly. This contribution helped strengthen the project, and the whole community benefits from it.

Catégorie : Incorrect Authorization (CWE-863)

Vecteur CVSS : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L