CVE-2026-116679

Neko: Authorization bypass in legacy WebRTC input handling

CVSS 3.1Medium

5.4/ 10.0

Опубликовано

27 октября 2026 г.

Обновлено

28 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.1.5, 0.0.0-20260805142851-395ca1a6f62b

Обновите Neko до версии 3.1.5 или отключите устаревший режим и параметр session.implicit_hosting.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Neko допускает несанкционированную передачу ввода через устаревший канал WebRTC в обход блокировки управления.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях от 3.0.0 до 3.1.5 при включенных legacy mode и session.implicit_hosting функция LegacyIsHost() некорректно определяет статус хоста для data-channel.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Аутентифицированный участник комнаты может посылать события мыши и клавиатуры в обход блокировки ввода и прав доступа modern control API.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

m1k1oneko

>= 3.0.0➔Fix: 3.1.5

——

>= 0.0.0-20250401220545-fe94c999c6af➔Fix: 0.0.0-20260805142851-395ca1a6f62b

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

github.comhttps://github.com/m1k1o/neko/security/advisories/GHSA-5cp7-fp4j-wwcv
github.comhttps://github.com/m1k1o/neko/pull/675
github.comhttps://github.com/m1k1o/neko/commit/395ca1a6f62b7b0e270e654d366a2d57b8042efd
github.comhttps://github.com/m1k1o/neko/releases/tag/v3.1.5

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-116679: Neko: Authorization bypass in legacy WebRTC input handling. URL: https://cve.futuretools.ru/cve/CVE-2026-116679

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_116679,
  title = {{CVE-2026-116679: Neko: Authorization bypass in legacy WebRTC input handling}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-116679}},
  note = {Оперативный инженерный анализ киберугроз}
}