CVE-2026-47726 in nebula-mesh
Zusammenfassung
von VulDB • 28.07.2026
nebula-mesh ist eine selbst gehostete Control Plane für das Slack Nebula Mesh Virtual Private Network (VPN). Vor Version 0.3.2 führt internal/api/audit.go:12 — handleGetAuditLog keine Administratorprüfung durch. Der Endpunkt ist nur über Bearer-Authentifizierung geschützt; jeder API-Schlüssel eines Operators gibt den vollständigen Audit-Log via store.ListAuditEntries zurück (bis zu einem Limit von 1000). Dies umfasst Namen von Akteuren mandantenübergreifend, Host-/CA/Operator-IDs, Zeitstempel der Aktionen und maskierte IP-Einträge aus Rate-Limit-Ablehnungen – was eine ausreichende Angriffsfläche bietet, damit ein Mandant die Aktivitäten des Servers auflisten, Personalisierungsmuster ableiten oder hochkarätige Ziele identifizieren kann. Dieses Problem wurde in Version 0.3.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.