PT-2026-44889 · Xx Net · Xx-Net

Yu Sun · Publicado 2026-05-29 · Atualizado 2026-05-29 · CVE-2026-10099

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas XX-Net versão 5.16.6

Description Um problema de análise de quadros WebSocket existe na rotina WebSocket receive worker do arquivo simple http server.py. O servidor lê incondicionalmente 4 bytes como uma chave de mascaramento, mesmo que o bit MASK não esteja definido no cabeçalho do quadro. Isso faz com que os primeiros 4 bytes da carga útil sejam consumidos como uma chave de máscara e o restante da carga útil seja decodificado incorretamente via XOR, resultando em corrupção de dados da aplicação. Além disso, o sistema não valida o bit RSV, o opcode e a fragmentação FIN.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-1286

Identificadores relacionados

CVE-2026-10099

Produtos afetados

Xx-Net

Referências · 6

• https://github.com/XX-net/XX-Net/issues/14169 · Nota
• https://github.com/XX-net/XX-Net/commit/a68b972a84ed6e52df9f30237cf47493b9231b53 · Correção
• https://github.com/XX-net/XX-Net/pull/14170 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-10099 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2060456070993096991 · Publicação no Twitter
• https://vulncheck.com/advisories/xx-net-websocket-frame-parsing-data-corruption-via-simple-http-server-py · Nota