CVE-2026-49258
Açıklama
Nebula Mesh, Slack Nebula mesh VPN için self-hosted bir kontrol düzlemidir. 0.3.5 ve altındaki sürümlerde, web arayüzü (/ui/*) JSON API tarafından uygulanan operatör bazlı CA kapsamlandırmasını uygulamaz. Bu durum GHSA-598g-h2vc-h5vg ile kısmen ele alınmış, ancak değişiklikler web okuma/mutasyon yüzeyinde uygulanmamıştır. Kimliği doğrulanmış herhangi bir yönetici olmayan operatör (örneğin, self-registration veya OIDC aracılığıyla oluşturulan biri), diğer operatörlere ait kaynaklara erişebilir. Host oluşturma/düzenleme/mobil paket/ağ oluşturma yolları ve tüm CA yönetim rotaları zaten doğru şekilde kapsamlandırılmıştı. Kötü niyetli bir operatör, başka bir operatörün host'unu engelleyebilir veya silebilir ya da herhangi bir operatörün host'larını ve ağlarını okuyabilir. Bu sorun 0.3.6 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/juev/nebula-meshGo | v ≤ 0.3.4, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.