漏洞概述 漏洞编号: #14169 标题: WebSocket parser ignores MASK bit, always reads 4-byte masking key 状态: Closed 报告者: AAtomical 提交时间: 3 weeks ago 关闭时间: 2 weeks ago 影响范围 受影响代码: 具体行号: 277-301 问题描述: WebSocket接收器无条件读取4字节作为掩码密钥,无论MASK位(第二个头字节的第7位)的值如何,违反了RFC 6455 §5.2。 影响: 当客户端发送未掩码帧(MASK bit = 0)时,服务器会读取实际负载的前4字节作为掩码密钥,导致数据解码错误,可能引发安全问题。 修复方案 修复代码: 修复说明: 首先检查MASK位,如果MASK位为1,则读取4字节掩码密钥;如果MASK位为0,则直接读取负载数据。 版本信息 确认版本: 3haocdf (v5.16.6, 2025-08-26) 其他信息 严重程度: Low 默认绑定: 127.0.0.1 增加项: 当“Allow Remote”启用时,绑定为0.0.0.0 评论 AAtomical: 3 weeks ago - 提到已提交PR修复此bug: #14170 xxnet: 2 weeks ago - 确认PR已合并,表示感谢。 关闭状态 关闭者: xxnet 关闭时间: 2 weeks ago