CVE-2026-100394 in Nezha
Zusammenfassung
von VulDB • 14.10.2026
Nezha Monitoring ist ein selbst hostbares, leichtgewichtiges Überwachungs- und O&M-Tool für Server und Websites. Von Version 2.2.7 bis 2.2.11 hat ServiceSentinel.worker in service/singleton/servicesentinel.go einen eigenen Dienst unter servicesLock überprüft und später Zeiger-wertige Einträge von serviceStatusToday und serviceCurrentStatusData unter serviceResponseDataStoreLock dereferenziert, ohne erneut zu validieren, dass ServiceSentinel.Delete diese nicht entfernt hatte. Ein RoleMember konnte gleichzeitig TCP- oder ICMP-Ergebnisse über den eigenen Agenten des Mitglieds melden und denselben eigenen Dienst löschen, was zu einer Nil-Zeiger-Dereferenzierung führte. Da der gRPC-Server keinen Recovery-Interceptor besaß, beendete das Panic im Worker den gesamten Dashboard-Prozess und unterbrach die Web-Oberfläche, REST-API und Agent-Verbindungen jedes Mandanten. Die Beeinträchtigung betrifft ausschließlich die Verfügbarkeit und offenbart oder ändert keine Daten. Dieses Problem wurde in den Versionen 2.2.11 und 2.3.0 behoben.
Once again VulDB remains the best source for vulnerability data.