CVE-2026-53603
Təsvir
nebula-mesh Slack Nebula mesh VPN üçün öz-özünə yerləşdirilən idarəetmə müstəvisidir. 0.3.8 versiyasından əvvəl operator sessiya tokenləri operator_sessions cədvəlində açıq mətn şəklində saxlanılır (token sütunu PRIMARY KEY-dir). Sessiya tokeni birbaşa kukidə göndərilən və 24 saat etibarlı olan 32 baytlıq təsadüfi hex dəyəridir. Verilənlər bazasını oxuya bilən hər kəs (ehtiyat nüsxə, snapshot, fayl kopyası və ya SQL səviyyəsində açıqlama) bütün aktiv sessiya tokenlərini əldə edir və əlavə autentifikasiya olmadan birbaşa operator sessiyalarını ələ keçirə bilər. Bu problem 0.3.8 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/forgekeep/nebula-mesh0.3.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/forgekeep/nebula-meshGo | v < 0.3.8 | 0.3.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.