CVE-2026-66420 in MeshCentral
Riassunto
di VulDB • 31/07/2026
MeshCentral 1.1.21 presenta una vulnerabilità di bypass della protezione contro il cross-site WebSocket hijacking che consente ad attaccanti remoti non autenticati di dirottare le sessioni degli amministratori autenticati sfruttando un ritorno anticipato incondizionato nella funzione CheckWebServerOriginName() all'interno del file webserver.js quando sono in uso certificati self-signed. Gli attaccanti possono aprire connessioni WebSocket cross-origin verso uno dei dodici endpoint WebSocket, inviare comandi di azione manipolati per esfiltrare la server sessionKey utilizzata per firmare i cookie di sessione, falsificare i token di sessione come utenti arbitrari e ottenere il controllo remoto completo di tutti i dispositivi gestiti dall'istanza MeshCentral.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.