Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-863

CVE-2026-116679

Neko sanal tarayıcısında eski WebRTC girdi işleminde yetkisiz erişim (yetki atlatma)

m1k1o neko

Orta 5,4 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sanal çalışma ortamındaki denetim mekanizmasının bazı durumlarda atlatılabilmesine yol açar. Oda içindeki yetkisiz bir kullanıcı, yönetici kısıtlamalarına rağmen sistemi kontrol edebilir. Etkilenen sistemlerin kısa sürede güncellenmesi önerilir.

ÖzetTürkçe

Neko, Docker içinde çalışan ve WebRTC kullanan kendi kendine barındırılan bir sanal tarayıcıdır. 3.0.0 ile 3.1.5 arasındaki sürümlerde, eski (legacy) mod ve session.implicit_hosting seçenekleri etkinleştirildiğinde, LegacyIsHost fonksiyonu ev sahibi durumunu yanlış değerlendirdiği için eski WebRTC veri kanalı üzerinden gelen girdiler hatalı biçimde yetkilendirilmektedir. Bu durum, oda üyelerinden kimliği doğrulanmış olanları etkiler.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir oda üyesi, kontroller kilitliyken ya da modern kontrol API'si tarafından yetkilendirilmemişken bile eski kontrol kanalı üzerinden fare ve klavye olaylarını gönderebilir. Saldırgan, tarayıcı oturumunu yetkisiz şekilde yönlendirebilir ve veri bütünlüğünü ile kullanılabilirliği etkileyebilir.

Kaynaktaki açıklama (İngilizce)

Neko is a a self-hosted virtual browser that runs in Docker and uses WebRTC. From version 3.0.0 until 3.1.5, Neko deployments with legacy mode and session.implicit_hosting enabled incorrectly authorize legacy WebRTC data-channel input because LegacyIsHost() evaluates host status incorrectly. An authenticated room member who establishes a WebRTC connection can send mouse and keyboard events through the legacy control channel while controls are locked or the member is otherwise unauthorized by the modern control API. This issue is fixed in version 3.1.5.

Ne yapmalı?

  1. Neko'yu 3.1.5 veya sonraki bir sürüme yükseltin. Genel öneri
  2. Yükseltmeden önce, eski (legacy) modun ve session.implicit_hosting seçeneğinin gerekli olup olmadığını değerlendirin ve gereksiz ise devre dışı bırakın. Genel öneri
  3. Yükseltme tamamlanana kadar oda üyelerinin erişimini sınırlandırın ve güvenilmeyen kullanıcıları odalardan çıkarın. Genel öneri

Ek önlemler

  • Oda üyelik ve kontrol yetkilerini düzenli olarak gözden geçirin. Genel öneri
  • Beklenmedik fare ve klavye etkinliklerini veya oturum davranışlarını izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
m1k1o neko Sürüm belirtilmemiş –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.