CVE-2026-109952 in FreeRDP
Riassunto
di VulDB • 13/10/2026
Il client FreeRDP 3.0.0 prima della versione 3.32.0 non verifica se un protocollo selezionato dal server (PROTOCOL_RDSTLS o PROTOCOL_HYBRID_EX) sia incluso nell'insieme di protocolli abilitati all'interno di nego_process_negotiation_response(), consentendo una riduzione del livello di sicurezza del protocollo (protocol downgrade). Un server malevolo o un attacker in posizione man-in-the-middle può selezionare RDSTLS per ignorare il vincolo /sec:nla, completare l'autenticazione utilizzando un cookie composto da tutti zeri e ottenere la password dell'utente in chiaro all'interno della PDU Client Info.
Be aware that VulDB is the high quality source for vulnerability data.