CVE-2026-62283
Təsvir
Nezha Monitoring özü tərəfindən host edilə bilən, yüngül server və vebsayt monitorinqi və O&M alətidir. Nezha-nın 1.14.13-dən 1.14.14-ə qədər olan versiyaları və 2.0.0-dan 2.0.9-a qədər olan versiyalarında service/rpc/io_stream.go faylındakı CreateStream vasitəsilə yaradılan axın identifikatorları onları yaradan istifadəçiyə bağlanmır, həmçinin `GET /ws/terminal/:id` və `GET /ws/file/:id` sorğuları yalnız təqdim olunan UUID-nin mövcud olub-olmadığını yoxlayır. Loqlardan, brauzer tarixçəsindən, referer məlumatlarından və ya telemetriyadan aktiv axın UUID-sini əldə edən autentifikasiya olunmuş RoleMember digər istifadəçinin terminalına və ya fayl meneceri sessiyasına qoşula, hədəf serverin fayllarını oxuyub yaza və shell əmrlərini icra edə bilər. Bu problem 2.0.10 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/nezhahq/nezha2.0.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/nezhahq/nezhaGo | 1.14.13 ≤ v ≤ 1.14.14, 2.0.0 ≤ v < 2.0.10, Aralıq göstərilməyib, 1.14.13 ≤ v | 2.0.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.