CVE-2026-105113

ŚrednieCVSS 6.5

Opublikowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Streszczenie

Nezha Dashboard od wersji 1.8.0 do 2.3.13 zawiera podatność na nieprawidłowe blokowanie, gdzie nieodroczone zwolnienie mutexa powoduje wyciek na ścieżce paniki nil-map. Każdy uwierzytelniony użytkownik niebędący administratorem może wykonać cztery wywołania API powiadomień, aby trwale zablokować podsystem alertów, a następnie wyczerpać pamięć blokującymi żądaniami.

Ocena ryzyka

Uwierzytelniony użytkownik o niskich uprawnieniach może trwale zablokować system alertów i doprowadzić do wyczerpania pamięci, co prowadzi do odmowy usługi. Może to sparaliżować monitorowanie i reagowanie na incydenty.

Rekomendacja

Zaktualizuj Nezha Dashboard do wersji 2.3.13 lub nowszej. Ogranicz uprawnienia użytkowników niebędących administratorami i monitoruj nietypowe wywołania API powiadomień.

Inne podatności w Nezha Dashboard

CVE-2026-101086Średnie
Nezha Dashboard w wersjach przed 2.3.5 nie ogranicza typów zadań monitorów usług do obsługiwanych typów sond. Uwierzytelniony użytkownik z uprawnieniem nezha:service:write może przesłać uprzywilejowane typy zadań przez API usługi, wykorzystując współdzieloną przestrzeń nazw protobuf Task.Type.

Oryginalny opis (angielski, źródło NVD)

Nezha Dashboard from 1.8.0 before 2.3.13 contains an improper locking vulnerability where a non-deferred mutex unlock leaks on a nil-map panic path. Any authenticated non-admin member can issue four notification API calls to permanently deadlock the alerting subsystem, then exhaust memory with blocking requests.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS