CVE-2026-116679

Nome do Software Vulnerável e Versões Afetadas Neko versões 3.0.0 até 3.1.4

Description Implantações do Neko que utilizam o modo legado com session.implicit hosting habilitado contêm um erro de lógica na função LegacyIsHost(). Isso faz com que o canal de dados WebRTC legado autorize incorretamente eventos de entrada. Um membro autenticado da sala que estabeleça uma conexão WebRTC pode enviar eventos de mouse e teclado através do canal de controle legado, ignorando as verificações de autorização mesmo quando os controles estão bloqueados ou o membro não está autorizado pela API de controle moderna.

Recommendations Atualizar para a versão 3.1.5. Desativar o modo legado se não for necessário. Definir session.implicit hosting como false. Restringir o acesso a usuários autenticados confiáveis.