CVE-2026-101088

Nezha bir sunucu ve web sitesi izleme aracıdır. >= 2.2.11 ve < 2.3.1 sürümlerinde, service sentinel worker (service/singleton/servicesentinel.go), daha önce raporlanmış bir nil dereference hizmet reddi (GHSA-qjpp-gffx-2wm9) için eksik bir düzeltme içermektedir. 2026-07-21 tarihli düzeltme, servis yaşam döngüsünü serviceResponseDataStoreLock altında yeniden doğrulamış ancak önceden yakalanmış ve artık güncelliğini yitirmiş olan bir reporter işaretçisini yeniden kullanmış ve sunucuyu hiçbir zaman yeniden doğrulamamıştır; ayrıca söz konusu kilit ServerShared'ı korumamaktadır. Bir ajana sahip olan üye rolündeki kimliği doğrulanmış bir kullanıcı, yarış penceresini kazanmak için kendi sunucusu için eşzamanlı bir sunucu silme işlemi (POST /api/v1/batch-delete/server) gerçekleştirebilir ve bu durum worker'ın sunucu listesi anlık görüntüsünde eksik olan bir girdiyi dereference etmesine neden olur. Sentinel worker'lar ve gRPC sunucusunda herhangi bir recover()/recovery interceptor bulunmadığından, ortaya çıkan panic kurtarılamaz ve tüm örneğin çökmesine yol açar. Bu sorun 2.3.1 sürümünde düzeltilmiştir.