CVE-2026-53603 in nebula-mesh
الملخص
بحسب VulDB • 04/09/2026
nebula-mesh هو مستوى تحكم ذاتي الاستضافة (self-hosted control plane) لشبكة VPN Nebula الخاصة بـ Slack. قبل الإصدار 0.3.8، كانت رموز جلسات المشغل (Operator session tokens) تُخزَّن كنص واضح في جدول operator_sessions (حيث عمود الرمز هو المفتاح الأساسي PRIMARY KEY). يتكون رمز الجلسة من قيمة عشوائية سداسية عشرية بطول 32 بايت ويُرسَل مباشرةً ضمن ملف تعريف الارتباط (cookie) وتكون صالحة لمدة 24 ساعة. يمكن لأي شخص لديه القدرة على قراءة قاعدة البيانات (عبر النسخ الاحتياطي، أو لقطة snapshot، أو نسخ الملفات، أو الكشف عبر مستوى SQL) الحصول على جميع رموز الجلسات النشطة واستغلال جلسات المشغل مباشرةً دون الحاجة إلى مصادقة إضافية. تم إصلاح هذه المشكلة في الإصدار 0.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.