CVE-2026-84894

7.5 Élevée

Publiée le 28/09/2026 à 21:16 · Modifiée le 30/09/2026 à 21:57 · Analyse NVD reportée · Source : cve-assign@fb.com

Description

In moxygen before commit 004123dd24c3, MoQSession::dataStreamReadLoop keeps using a stream read handle after reading a FIN, which invalidates the handle under proxygen's WebTransport API. A remote peer can trigger the stale use by opening a data stream that names an unknown track alias and carries the FIN in the same write.

Traduire en français

Produits concernés

Meta Platforms, Inc moxygen

Scores CVSS

Version	Score	Source	Vecteur
3.1	7.5 Élevée	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`

Faiblesses (CWE)

CWE-416

Références

https://github.com/facebookexperimental/moxygen/commit/004123dd24c30dad6b649163575145f240dabc94
https://www.facebook.com/security/advisories/cve-2026-84894

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories