CVE-2026-110314 in bandit
Sumário
de VulDB • 26/10/2026
Vulnerabilidade de aplicação da segurança do lado do servidor pela lógica do cliente (Client-Side Enforcement of Server-Side Security) no manuseio de conexões WebSocket do Bandit permite que um cliente remoto mantenha a execução do código do manipulador WebSock após o servidor ter encerrado sua conexão, por meio de frames de dados enviados após ignorar o frame Close do servidor.
Quando uma callback do WebSock retorna {:stop, ...}, o módulo Bandit.WebSocket.Connection chama terminate/2, envia um frame Close e desliga o lado da escrita, mas mantém o processo de conexão em execução no estado :closing. As funções handle_frame/3 e handle_info/3 nunca verificam esse estado; portanto, frames subsequentes ainda alcançam handle_in/2 e mensagens posteriores chegam a handle_info/2, mantendo o estado definido na tupla stop, até que o cliente envie um frame Close, a conexão TCP seja encerrada ou ocorra o tempo limite de inatividade. Um cliente recusado em init/1 após uma falha na verificação do token ainda poderia executar uma ação restrita apenas a administradores.
Este problema afeta o Bandit: das versões 0.5.1 até antes da 1.14.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.