CVE-2026-47724
Təsvir
nebula-mesh Slack Nebula mesh virtual private network üçün öz-özünə yerləşdirilən idarəetmə müstəvisidir. 0.3.4 versiyasından əvvəl `/api/v1/*` marşrut səthi əksər endpoint-lərdə avtorizasiya üçün yalnız bearer token-ə etibar edir. Kod bazası bunu özü `internal/api/hosts.go:384` sətrində etiraf edir: "API avtorizasiya üçün bearer token-ə etibar edir; hər CA üzrə sahiblik yalnız Web qatında tətbiq olunur." Web UI vəziyyəti dəyişən marşrutları `loadAccessibleCA` (`internal/web/cas.go`) vasitəsilə qapıdan keçirir; `internal/api/cas.go` daxilindəki CA-idarəetmə endpoint-ləri DƏ uyğun `canAccessCA` qapılarına malikdir. Boşluq host, şəbəkə, firewall, mobil-bundle və əksər operator endpoint-lərindədir. ADR 0002-dən gələn hər operator üzrə CA modeli ilə birləşdikdə bu, hər hansı qeyri-admin operator API açarına geniş tenantlararası giriş verir — ən pis halda ani imtiyazların yüksəldilməsi. 0.3.4 versiyası bu problemi düzəldir.
Necə düzəltmək olar
- github.com/juev/nebula-mesh0.3.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/juev/nebula-meshGo | v < 0.3.4 | 0.3.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.