CVE-2026-100394

Nezha Monitoring to samohostowane, lekkie narzędzie do monitorowania serwerów i stron internetowych oraz zarządzania nimi. Wersje Nezha od 1.14.13 do 1.14.14 oraz od 2.0.0 do 2.0.9 nie wiążą identyfikatorów strumieni utworzonych przez CreateStream w service/rpc/io_stream.go z ich użytkownikiem tworzącym, a `GET /ws/terminal/:id` i `GET /ws/file/:id` sprawdzają tylko, czy podany UUID istnieje. Uwierzytelniony użytkownik z rolą RoleMember, który zdobędzie żywy UUID strumienia z logów, historii przeglądarki, danych referer lub telemetrii, może dołączyć do sesji terminala lub menedżera plików innego użytkownika, czytać i zapisywać pliki na serwerze docelowym oraz wykonywać polecenia powłoki. Problem naprawiono w wersji 2.0.10.

Nezha Monitoring przed wersją 2.0.13 ma lukę w obsłudze NoRoute w dashboardzie, która pozwala na dostęp do zasobów administracyjnych bez autoryzacji. Wykorzystując nieprawidłowe sprawdzenie prefiksu URL, atakujący może uzyskać dostęp do plików systemowych.

Nezha Monitoring w wersjach od 1.4.0 do przed 2.0.8 pozwala użytkownikom z rolą RoleMember na tworzenie zaplanowanych zadań cron, które mogą wykonywać dowolne polecenia na serwerach, w tym na serwerach należących do innych użytkowników. To stwarza ryzyko nieautoryzowanego dostępu do systemów.

Nezha Monitoring przed wersją 2.2.5 ujawnia w odpowiedziach API /api/v1/ddns i /api/v1/notification pełne obiekty zasobów, w tym poświadczenia stron trzecich w postaci jawnego tekstu, takie jak tokeny API Cloudflare, SecretKeys TencentCloud, webhooki Slack, Discord i Telegram z osadzonymi tokenami botów oraz wartości nagłówka Authorization. Każdy uwierzytelniony administrator lub PAT z zakresem nezha:ddns:read lub nezha:notification:read może uzyskać przechowywane poświadczenia za pomocą handlerów listDDNS i listNotification w pojedynczej odpowiedzi API.

Nezha Monitoring w wersjach od 1.0.0 do przed 2.2.0 ma lukę w funkcji getRedirectURL, która tworzy URL zwrotny OAuth2 bez walidacji nagłówka Host. Może to prowadzić do wstrzyknięcia nagłówka hosta.

Nezha Monitoring w wersjach od 1.0.0 do przed 2.2.0 ma lukę, która pozwala na tworzenie długoterminowych strumieni WebSocket bez ograniczeń. Dwa punkty końcowe, POST /api/v1/terminal i POST /api/v1/file, nie mają limitów użytkowników ani połączeń serwerowych.

Nezha Monitoring w wersjach od 2.0.14 do przed 2.1.0 pozwala na akceptację i przechowywanie nieistniejących identyfikatorów ddns_profiles dla serwera należącego do użytkownika. W przypadku, gdy inny użytkownik utworzy profil DDNS z jednym z tych identyfikatorów, może to prowadzić do wykorzystania konfiguracji profilu DDNS innego użytkownika w kontekście serwera napastnika.

Nezha Monitoring to narzędzie do monitorowania serwerów i stron internetowych. W wersjach od 2.0.14 do przed 2.1.0, uwierzytelnieni użytkownicy mogą przejąć kontrolę nad panelem Host poprzez NAT, co pozwala na przejęcie całej routingu panelu.

Nezha Monitoring to narzędzie do monitorowania serwerów i stron internetowych. W wersjach od 2.0.0 do przed 2.0.14, prywatne usługi były widoczne poprzez punkty końcowe dla poszczególnych serwerów, co prowadziło do wycieku danych o nazwach i czasach.

Nezha Monitoring to narzędzie do monitorowania serwerów i stron internetowych. W wersjach od 1.0.0 do przed 2.0.14, złośliwe żądanie GET z innej witryny może wywołać zapisane polecenia cron na agentach ofiary. Problem został naprawiony w wersji 2.0.14.