CVE-2026-10099
Publiée le 2026-05-29 · Dernière modification le 2026-10-06
Les versions de XX-Net jusqu'à la 5.16.6 sont affectées par une faille dans la manière dont le serveur HTTP intégré analyse les messages WebSocket. Un attaquant ayant un accès local au système peut envoyer des trames spécialement conçues pour corrompre les données de l'application, bien qu'il ne puisse pas obtenir le contrôle administratif ni voler des informations. Cet exploit est simple à exécuter et ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
XX-Net V5.16.6 contains a WebSocket frame parsing vulnerability in the WebSocket_receive_worker routine of simple_http_server.py that allows attackers to cause corrupted application data by sending unmasked WebSocket frames. The server unconditionally reads 4 bytes as a masking key regardless of whether the MASK bit is set in the frame header, causing the first 4 bytes of payload to be consumed as a mask key and the remaining payload to be incorrectly XOR-decoded, resulting in data corruption alongside missing RSV bit, opcode, and FIN fragmentation validations.