CVE-2026-110314 in bandit
要約
〜によって VulDB • 2026年10月26日
mtrudelのbanditにおけるWebSocket接続処理のServer-Side Securityに対するClient-Side Enforcementの脆弱性により、リモートクライアントはサーバーが接続を停止した後も、サーバーのCloseフレームを無視して送信されたデータフレームを通じてWebSockハンドラコードの実行を継続できます。
WebSockコールバックが{:stop, ...}を返すと、Bandit.WebSocket.Connectionはterminate/2を呼び出し、Closeを送信し書き込み側を終了しますが、接続プロセスは:closing状態のまま実行され続けます。handle_frame/3およびhandle_info/3はこの状態をチェックしないため、後続のフレームはまだhandle_in/2に到達し、後続のメッセージはstopタプルの状態を保持したままhandle_info/2に到達します。これはクライアントがCloseを送信するか、TCP接続が切断されるか、アイドルタイムアウトが発生するまで続きます。トークンチェックで失敗した後init/1で拒否されたクライアントでも、管理者専用のアクションを実行できる可能性があります。
この問題はbandit: 0.5.1から1.14.0未満のバージョンに影響します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.