CVE-2026-101087 in Nezha
Zusammenfassung
von VulDB • 27.09.2026
In den Versionen von Nezha ab 2.0.10 bis einschließlich 2.3.2 wird ein eingeschränkter HTTP-Client zur Validierung benutzerkonfigurierbarer Webhook-URLs für Benachrichtigungen und DDNS verwendet, doch die Denylist deckte keine IPv6-Transition-Bereiche ab – insbesondere das 6to4-Prefix 2002::/16 sowie das lokale Übersetzungs-Prefix von IPv4 auf IPv6 64:ff9b:1::/48. Da solche Adressen die Go-Funktion `netip.Addr.IsGlobalUnicast` erfüllen, akzeptierte der URL-Validator sie. Ein authentifizierter Benutzer, der einen Webhook konfigurieren kann, könnte möglicherweise dazu führen, dass das Dashboard Anfragen an ein sonst eingeschränktes IPv6-Ziel sendet; dies ist jedoch nur dort möglich, wo das Netzwerk des Dashboards für diese Transition-Bereiche ungewöhnliches oder nicht normkonformes Routing bereitstellt. Es wurde kein direkter Pfad zu HTTP-Anfragen auf IPv4-Metadata-, Loopback- oder private-Netzwerkadressen nachgewiesen. Das Problem wurde in Version 2.3.3 (Commit d1fcde8e) behoben, die beide Prefixes blockiert.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.