CVE-2026-101087
Açıklama
Nezha 2.0.10 ile 2.3.2 arasındaki sürümler, kullanıcı tarafından yapılandırılabilen bildirim ve DDNS webhook URL'lerini doğrulamak için kısıtlanmış bir HTTP istemcisi kullanır, ancak engelleme listesi IPv6 geçiş aralıklarını —özellikle 6to4 ön eki olan 2002::/16 ve yerel kullanım amaçlı IPv4/IPv6 çeviri ön eki olan 64:ff9b:1::/48— kapsamamaktadır. Bu adresler Go'nun netip.Addr.IsGlobalUnicast kontrolünü karşıladığı için URL doğrulayıcı bunları kabul etmiştir. Webhook yapılandırması yapabilen kimliği doğrulanmış bir kullanıcı, yalnızca dashboard ağının bu geçiş aralıkları için sıra dışı veya standartlara uygun olmayan yönlendirmeler sağladığı durumlarda, dashboard'un normalde kısıtlanmış bir IPv6 uç noktasına istek göndermesine neden olabilir; IPv4 meta veri, loopback veya özel ağ HTTP isteğine doğrudan bir yol kanıtlanmamıştır. Sorun, her iki ön eki de engelleyen 2.3.3 sürümünde (commit d1fcde8e) düzeltilmiştir.
Nasıl düzeltilir
- nezhahq nezha2.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nezhahq nezha | 2.0.10 ≤ v < 2.3.3 | 2.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.