CVE-2026-43915 - Coturn: Stored Cross-Site Scripting (XSS) in web-admin interface via TURN username
Summary
This entry details a vulnerability found in the target system. The exploit was published on 2026-06-18 and has garnered 78 views from the community. It is classified under the web apps category. Users are advised to review the source code in the Detail tab for technical specifics.
Zafiyet Ozet Bilgileri
Zafiyet Detayi (Turkce)
Coturn, TURN ve STUN Sunucusunun ücretsiz açık kaynak uygulamasıdır. 4.11.0'dan önceki sürümler, web yöneticisi HTTPS arayüzünde depolanmış bir siteler arası komut dosyası çalıştırma (XSS) güvenlik açığı içerir. Hazırlanmış bir USERNAME değeriyle TURN tahsisi oluşturabilen bir saldırgan, kimliği doğrulanmış bir web yöneticisi kullanıcısı TURN oturum listesini görüntülediğinde çalıştırılan HTML/JavaScript enjekte edebilir. Anonim TURN erişimi (--no-auth) kullanan yapılandırmalarda, bu durum TURN kimlik bilgileri olmadan kullanılabilir. Kimliği doğrulanmış dağıtımlarda, istismar için geçerli TURN kimlik bilgileri veya sağlanan bir kullanıcı adı üzerinde kontrol gerekir. Bu sorun 4.11.0 sürümünde giderilmiştir.
Orijinal Aciklama (Ingilizce)
Coturn is a free open source implementation of TURN and STUN Server. Versions prior to 4.11.0 contain a stored cross-site scripting (XSS) vulnerability in the web-admin HTTPS interface. An attacker who can create a TURN allocation with a crafted USERNAME value can inject HTML/JavaScript that executes when an authenticated web-admin user views the TURN session list. In configurations using anonymous TURN access (--no-auth), this may be exploitable without TURN credentials. In authenticated deployments, exploitation requires valid TURN credentials or control over a provisioned username. This issue has been fixed in version 4.11.0.
Download Source
Download the exploit source code for offline analysis and testing.
Download NowFile Size: ~3.4 KB | MD5: accec1ef45b39e403a4550ffc5922365
No gallery images available.
No discussion yet.