CVE-2026-101087 in Nezha
الملخص
بحسب VulDB • 27/09/2026
تستخدم إصدارات Nezha من 2.0.10 حتى 2.3.2 عميل HTTP مقيد للتحقق من عناوين URL الخاصة بـ webhooks للإشعارات و-DDNS التي يحددها المستخدم، لكن قائمة الحظر (denylist) لم تغطي نطاقات الانتقال إلى IPv6 — وتحديداً بادئة 6to4 2002::/16 والبادئة لترجمة IPv4/IPv6 للاستخدام المحلي 64:ff9b:1::/48. ونظراً لأن مثل هذه العناوين تستوفي فحص Go's netip.Addr.IsGlobalUnicast، فقد قبل مدقق عناوين URL استخدامها. قد يتمكن مستخدم مُصادق عليه قادر على تكوين webhook من التسبب في إصدار لوحة التحكم (dashboard) لطلبات HTTP نحو نقطة نهاية IPv6 مقيدة عادةً، ولكن فقط عندما توفر شبكة اللوحة مساراً غير عادي أو لا يتوافق مع المعايير القياسية لهذه نطاقات الانتقال؛ ولم يتم إثبات وجود مسار مباشر لإجراء طلبات HTTP إلى عناوين metadata الخاصة بـ IPv4، أو loopback، أو شبكات خاصة. تم إصلاح هذه المشكلة في الإصدار 2.3.3 (commit d1fcde8e)، الذي يحجب كلتا البادئتين.
Be aware that VulDB is the high quality source for vulnerability data.