CVE-2026-49258
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Nebula Mesh w wersjach 0.3.5 i niższych nie stosuje ograniczeń CA dla operatorów w interfejsie web UI, co pozwala uwierzytelnionemu operatorowi niebędącemu administratorem na dostęp do zasobów innych operatorów. Luka została częściowo zaadresowana w GHSA-598g-h2vc-h5vg, ale nie objęła interfejsu web.
Ocena ryzyka
Złośliwy operator może blokować lub usuwać hosty innych operatorów oraz odczytywać ich sieci, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Nebula Mesh do wersji 0.3.6, która zawiera pełne poprawki dla interfejsu web UI.
Inne podatności w Nebula Mesh
Zobacz wszystkie- CVE-2026-47724Krytyczne
Podatność w nebula-mesh umożliwia eskalację uprawnień poprzez brak odpowiedniej kontroli dostępu na wielu endpointach API. Każdy operator z kluczem API może uzyskać dostęp do zasobów innych operatorów.
- CVE-2026-48058Średnie
nebula-mesh przed wersją 0.3.2 ustawia flagi HttpOnly i SameSite=Lax na ciasteczkach, ale nigdy nie ustawia flagi Secure. Pojedyncze żądanie w czystym tekście do origin (np. operator w LAN, błędnie wpisany URL, brak ścisłego wymuszania HTTP→HTTPS, błędna konfiguracja reverse proxy) ujawnia sesję.
- CVE-2026-47768Średnie
W nebula-mesh przed wersją 0.3.2 nowo wygenerowany klucz API operatora był ujawniany w adresie URL przekierowania, co mogło prowadzić do wycieku w nagłówku Referer, historii przeglądarki lub logach proxy. Problem został naprawiony w wersji 0.3.2.
- CVE-2026-47726Wysokie
nebula-mesh w wersjach przed 0.3.2 nie sprawdza uprawnień administratora dla endpointu dziennika audytu. Każdy operator z kluczem API może odczytać pełny dziennik audytu, w tym dane innych dzierżawców.
- CVE-2026-47725Średnie
W nebula-mesh przed wersją 0.3.3 wszystkie trasy /ui/* z metodami POST/PUT/PATCH/DELETE przetwarzają żądanie natychmiast po walidacji ciasteczka sesyjnego. Ustawienie SameSite=Lax nie chroni przed atakami z domen trzecich (np. nawigacje najwyższego poziomu, ataki z poddomen) ani przed atakami na trasę GET /ui/logout. Problem został naprawiony w wersji 0.3.3.
- CVE-2026-48025Średnie
W nebula-mesh przed wersją 0.3.7 odszyfrowane klucze prywatne CA pozostają w stercie procesu po użyciu, ponieważ nie są zerowane przed zwolnieniem pamięci. Narusza to kontrakt pakietu keystore i może prowadzić do wycieku kluczy. Problem został naprawiony w wersji 0.3.7.
- CVE-2026-47723Wysokie
W projekcie nebula-mesh przed wersją 0.3.1 brakuje standardowych nagłówków bezpieczeństwa przeglądarki (Content-Security-Policy, X-Frame-Options, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy) w ścieżkach odpowiedzi internal/web/ i internal/api/. Problem naprawiono w wersji 0.3.1.
- CVE-2026-47722Wysokie
W nebula-mesh przed wersją 0.3.2, w pliku internal/configgen/generator.go, pola ListenHost i TunDevice są interpolowane bez walidacji do szablonu text/template, co może prowadzić do wstrzykiwania kodu. internal/web/advanced.go akceptuje te pola tylko z usunięciem białych znaków, bez walidacji znaków lub kształtu.
Oryginalny opis (angielski, źródło NVD)
Nebula Mesh is a self-hosted control plane for the Slack Nebula mesh VPN. In versions 0.3.5 and below, the web UI (/ui/*) does not apply the per-operator CA scoping employed by the JSON API. This was partially addressed by GHSA-598g-h2vc-h5vg, but the changes were not implemented in the web read/mutation surface. Any authenticated non-admin operator (for example, one created via self-registration or OIDC) can access resources belonging to other operators. The host create/edit/mobile-bundle/network-create paths and all CA-management routes were already correctly scoped. A malicious operator could block or delete any other operator's host, or read any operator's hosts and networks. This issue has been fixed in version 0.3.6.