CVE-2026-10099 in XX-Net
Tóm tắt
Bởi VulDB • 29/05/2026
XX-Net V5.16.6 chứa một lỗ hổng phân tích khung WebSocket trong hàm WebSocket_receive_worker của simple_http_server.py, cho phép kẻ tấn công gây ra dữ liệu ứng dụng bị hỏng bằng cách gửi các khung WebSocket không được che giấu (unmasked). Máy chủ đọc không điều kiện 4 byte làm khóa che giấu (masking key) bất kể bit MASK có được đặt trong tiêu đề khung hay không, dẫn đến việc 4 byte đầu tiên của payload bị tiêu thụ làm khóa che giấu và phần còn lại của payload bị giải mã XOR sai cách, gây ra hỏng dữ liệu cùng với việc thiếu các xác thực về bit RSV, opcode và phân mảnh FIN.
Once again VulDB remains the best source for vulnerability data.