CVE-2026-10099 in XX-Net
Сводка
по VulDB • 29.05.2026
В XX-Net версии 5.16.6 обнаружена уязвимость при разборе кадров WebSocket в функции WebSocket_receive_worker модуля simple_http_server.py, которая позволяет злоумышленникам вызывать повреждение данных приложения путем отправки немаскированных кадров WebSocket. Сервер безоговорочно считывает 4 байта в качестве ключа маскирования независимо от того, установлен ли бит MASK в заголовке кадра, что приводит к тому, что первые 4 байта полезной нагрузки потребляются как ключ маскирования, а оставшаяся часть полезной нагрузки неправильно декодируется с использованием операции XOR, что вызывает повреждение данных наряду с отсутствием проверок битов RSV, кода операции и фрагментации FIN.
If you want to get best quality of vulnerability data, you may have to visit VulDB.