CVE-2026-101090

Nezha 2.2.3 versiyasında OAuth2 yönləndirmə nöqtəsində Host başlığı inyeksiyası (Host header injection) reqressiyası mövcuddur. Yeni opsional dashboard_host parametri boş olduqda, /api/v1/oauth2/{provider} (cmd/dashboard/controller/oauth2.go) konfiqurasiya edilmiş install_host parametrindən istifadə etmək əvəzinə, hücum edən tərəfindən təmin edilən HTTP Host başlığını kimlik provayderinə göndərilən redirect_uri daxilinə əks etdirir. Qurbanı saxtalaşdırılmış Host başlığı ilə Nezha-ya çatan sorğu vasitəsilə OAuth2 girişini başlatmağa sövq edən hücumçu, hücumçunun nəzarətində olan geri çağırış (callback) URL-nin redirect_uri kimi istifadəsinə səbəb ola bilər; əgər OAuth2 provayderi bunu qəbul edərsə, qurbanın avtorizasiya kodu hücumçunun mənşəyinə ötürülür ki, bu da hücumçuya OAuth2 giriş/bağlama prosesini tamamlamağa və hesabı ələ keçirməyə imkan verir. Bu, GHSA-9rc6-8cjv-rcvx üçün tətbiq edilmiş düzəlişin reqressiyasıdır və konfiqurasiyadan asılıdır (dashboard_host boş olmalıdır). Xəbərdarlıq zamanı heç bir yamalı versiya mövcud deyildi.