Vulnerabilidad en neko de m1k1o (CVE-2026-39386)

Neko es un navegador virtual autoalojado que se ejecuta en Docker y utiliza WebRTC. En las versiones 3.0.0 a 3.0.10 y 3.1.0 a 3.1.1, cualquier usuario autenticado puede obtener inmediatamente control administrativo total de toda la instancia de Neko (gestión de miembros, configuración de sala, control de transmisión, terminación de sesión, etc.). Esto resulta en un compromiso completo de la instancia. La vulnerabilidad ha sido parcheada en v3.0.11 y v3.1.2. Si la actualización no es inmediatamente posible, las siguientes mitigaciones pueden reducir el riesgo: Restringir el acceso solo a usuarios de confianza (evitar conceder cuentas a partes no confiables); asegurar que todas las contraseñas de usuario sean fuertes y solo se compartan con individuos de confianza; ejecutar la instancia solo cuando sea necesario; evitar dejarla continuamente expuesta; colocar la instancia detrás de capas de autenticación como un proxy inverso con controles de acceso adicionales; deshabilitar o restringir el acceso al endpoint /api/profile si es factible; y/o monitorear cambios de privilegios sospechosos o acciones administrativas inesperadas. Tenga en cuenta que estas son mitigaciones temporales y no eliminan completamente la vulnerabilidad. Se recomienda encarecidamente la actualización.