# CVE-2026-28403: WebSocket Origin doğrulaması eksikliği (Cross-Site WebSocket Hijacking)

> Textream'in yerel WebSocket sunucusu Origin başlığını doğrulamıyordu. Kullanıcının ziyaret ettiği kötü niyetli bir web sayfası sunucuya sessizce bağlanıp komut gönderebiliyordu.

URL: https://iamcanturk.dev/guvenlik/cve-2026-28403/
CVSS 7.6 (YÜKSEK) · Textream (macOS) < 1.5.1 · Mart 2026

---

## Özet

Textream macOS uygulamasının 1.5.1 öncesi sürümlerinde `DirectorServer` WebSocket sunucusu, el sıkışma sırasında HTTP `Origin` başlığını doğrulamadan her kaynaktan gelen bağlantıyı kabul ediyordu.

## Etkisi

Aynı tarayıcı oturumunda ziyaret edilen kötü niyetli bir web sayfası, yerel WebSocket sunucusuna sessizce bağlanıp istediği komutları gönderebiliyordu.

## Düzeltme

Uygulamayı **1.5.1 veya sonrasına** güncelleyin. Kendi WebSocket sunucunuzu yazıyorsanız el sıkışmada `Origin` başlığını izin verilen kaynaklar listesiyle karşılaştırın, eşleşmeyen bağlantıları reddedin.

Kaynaklar:
- NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-28403
- GitHub güvenlik bildirimi (GHSA): https://github.com/f/textream/security/advisories/GHSA-wr3v-x247-337w
- Düzeltme commit'i: https://github.com/f/textream/commit/f5ebad82750b9313386c34af8f0ede50c213a8a0
- CVE kaydı (MITRE): https://www.cve.org/CVERecord?id=CVE-2026-28403
- CVE kaydı (Feedly): https://feedly.com/cve/CVE-2026-28403