CVE-2026-47724

nebula-mesh, Slack Nebula mesh sanal özel ağı için self-hosted bir kontrol düzlemidir. Versiyon 0.3.4 öncesinde, `/api/v1/*` rota yüzeyi çoğu uç noktada yetkilendirme için yalnızca bearer token'a güvenmektedir. Kod tabanının kendisi bunu `internal/api/hosts.go:384` konumunda şu şekilde kabul etmektedir: "API, yetkilendirme için bearer token'a güvenir; CA başına sahiplik yalnızca Web katmanında uygulanır." Web kullanıcı arayüzü, durum değiştiren rotaları `loadAccessibleCA` (`internal/web/cas.go`) üzerinden denetler; `internal/api/cas.go` içindeki CA yönetim uç noktaları DA uygun `canAccessCA` denetimlerine sahiptir. Boşluk ise host, network, firewall, mobile-bundle ve çoğu operatör uç noktasındadır. ADR 0002'deki operatör başına CA modeli ile birleştiğinde bu durum, yönetici olmayan herhangi bir operatör API anahtarına geniş çaplı kiracılar arası erişim sağlar ve en kötü durumda anlık yetki yükseltmeye yol açar. Versiyon 0.3.4 bu sorunu gidermektedir.