CVE-2026-59155
Açıklama
Nezha Monitoring; kendi sunucunuzda barındırılabilen, hafif bir sunucu ve web sitesi izleme ve işletim ve bakım (O&M) aracıdır. 2.2.5 sürümünden önce, GET /api/v1/ddns ve GET /api/v1/notification uç noktaları; Cloudflare API token'ları, TencentCloud SecretKey'leri, gömülü bot token'ları içeren Slack, Discord ve Telegram webhook URL'leri ile Authorization başlık değerleri dahil olmak üzere, herhangi bir alan düzeyinde gizleme yapılmaksızın düz metin üçüncü taraf API kimlik bilgilerini içeren tam kaynak nesyelerini döndürmektedir. Kimliği doğrulanmış herhangi bir yönetici veya nezha:ddns:read veya nezha:notification:read kapsamına sahip bir PAT, tek bir API yanıtı aracılığıyla listDDNS ve listNotification işleyicileri üzerinden saklanan kimlik bilgilerini alabilir. Bu sorun 2.2.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/nezhahq/nezha2.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/nezhahq/nezhaGo | v < 2.2.5, Aralık belirtilmemiş | 2.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.