CVE-2026-63464
Təsvir
nebula-mesh, Slack Nebula mesh VPN üçün özünə məxsus idarəetmə panelidir. Versiya 0.6.0-dan versiya 0.7.2-yə qədər olan dövrdə, admin olmayan operatorlar (user rolu), özləri tərəfindən idarə olunan webhook abunəliyində (POST/PATCH /api/v1/webhook-subscriptions) allow_private: true parametrini təyin edə bilirlər. Bu sahə üzrə heç bir admin yoxlaması mövcud deyil. Çatdırılma zamanı allow_private parametri dispatcher-i qorunmayan HTTP klientinə keçirərək private/loopback/link-local SSRF mühafizəsini yan keçir və bu, aşağı səlahiyyətli operatora server vasitəsilə daxili ünvanlara sorğu göndərməyə imkan verir. Bu problem versiya 0.7.2-də aradan qaldırılmışdır.
Necə düzəltmək olar
- github.com/forgekeep/nebula-mesh0.7.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/forgekeep/nebula-meshGo | 0.6.0 ≤ v < 0.7.2 | 0.7.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.