CVE-2026-49258
Təsvir
Nebula Mesh, Slack Nebula mesh VPN üçün özünə məxsus idarəetmə panelidir (control plane). 0.3.5 və daha aşağı versiyalarda veb interfeys (/ui/*), JSON API tərəfindən istifadə edilən hər bir operator üçün CA əhatə dairəsini (scoping) tətbiq etmir. Bu problem qismən GHSA-598g-h2vc-h5vg ilə həll edilmişdir, lakin dəyişikliklər veb oxuma/dəyişdirmə səthinə tətbiq edilməmişdir. Autentifikasiya olunmuş hər hansı qeyri-admin operator (məsələn, özqeydiyyat və ya OIDC vasitəsilə yaradılmış) digər operatorlara məxsus resurslara daxil ola bilər. Host create/edit/mobile-bundle/network-create yolları və bütün CA-idarəetmə marşrutları artıq düzgün şəkildə əhatə edilmişdi. Bədniyyətli operator digər hər hansı operatorun hostunu bloklaya və ya silə, yaxud hər hansı operatorun hostlarını və şəbəkələrini oxuya bilər. Bu problem 0.3.6 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/juev/nebula-meshGo | v ≤ 0.3.4, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.