CVE-2026-110314 in bandit
الملخص
بحسب VulDB • 26/10/2026
ثغرة فرض الأمان من جانب الخادم على العميل (Client-Side Enforcement of Server-Side Security) في معالجة اتصال WebSocket بواسطة mtrudel bandit تتيح لعميل عن بُعد الاستمرار في تشغيل كود معالج WebSock بعد أن يوقف الخادم اتصالاته، وذلك عبر إرسال إطارات بيانات بعد تجاهل إطار الإغلاق (Close frame) الصادر من الخادم.
عندما تُرجع استدعاءات WebSock القيمة `{:stop, ...}`، يقوم `Bandit.WebSocket.Connection` باستدعاء دالة `terminate/2` وإرسال رسالة Close وإنهاء جانب الكتابة، لكنه يظل يحافظ على عملية الاتصال قيد التشغيل في حالة `:closing`. لا تتحقق الدالتان `handle_frame/3` و `handle_info/3` من هذه الحالة، لذا تصل الإطارات اللاحقة إلى `handle_in/2` وتصل الرسائل اللاحقة إلى `handle_info/2` مع الاحتفاظ بحالة زوج التوقف (stop tuple)، وذلك حتى يرسل العميل رسالة Close أو ينقطع الاتصال عبر TCP أو ينفذ مهلة الخمول. وقد يتمكن عميل مرفوض في دالة `init/1` بعد فشل التحقق من الرمز المميز (token) من تنفيذ إجراء خاص بالمسؤولين فقط.
تؤثر هذه المشكلة على الإصدار bandit: بدءاً من 0.5.1 وحتى قبل 1.14.0.
Once again VulDB remains the best source for vulnerability data.