CVE-2026-110314 in bandit
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle bei der Client-seitigen Durchsetzung von Server-Security im WebSocket-Verbindungsmanagement von mtrudel Bandit ermöglicht es einem Remote-Client, WebSock-Handlercode auszuführen, nachdem der Server seine Verbindung beendet hat, indem Daten-Frames gesendet werden, die das Close-Framework des Servers ignorieren.
Wenn ein Websock-Callback {:stop, ...} zurückgibt, ruft Bandit.WebSocket.Connection terminate/2 auf, sendet einen Close-Befehl und schaltet den Schreibkanal ab, behält jedoch den Verbindungsprozess in einem :closing-Zustand bei. handle_frame/3 und handle_info/3 prüfen diesen Zustand nie, sodass spätere Frames weiterhin an handle_in/2 gelangen und spätere Nachrichten an handle_info/2 weitergeleitet werden, wobei der Status aus dem Stop-Tupel beibehalten wird, bis der Client einen Close sendet, TCP abbricht oder die Idle-Timeout-Zeit abläuft. Ein Client, der in init/1 nach einer fehlgeschlagenen Tokenprüfung zurückgewiesen wurde, könnte dennoch eine nur für Administratoren verfügbare Aktion ausführen.
Dieses Problem betrifft bandit: von Version 0.5.1 bis vor 1.14.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.