CVE-2026-49258 in nebula-mesh
Zusammenfassung
von VulDB • 28.07.2026
Nebula Mesh ist eine selbst gehostete Control Plane für das Slack Nebula Mesh VPN. In den Versionen 0.3.5 und älter wendet die Web-Oberfläche (/ui/*) nicht die pro Operator geltende CA-Scoping an, wie es von der JSON-API verwendet wird. Dies wurde teilweise durch GHSA-598g-h2vc-h5vg adressiert, jedoch wurden die Änderungen nicht in der webbasierten Lese-/Mutationsschnittstelle implementiert. Jeder authentifizierte Nicht-Admin-Betreiber (z. B. einer, der über Selbstregistrierung oder OIDC erstellt wurde) kann auf Ressourcen zugreifen, die anderen Betreibern gehören. Die Pfade zum Erstellen/Bearbeiten von Hosts/Mobile-Bundles/Netzwerken sowie alle CA-Verwaltungsrouten waren bereits korrekt scoped. Ein böswilliger Betreiber könnte jeden anderen Operator blockieren oder dessen Host löschen bzw. die Hosts und Netzwerke eines beliebigen Operators lesen. Dieses Problem wurde in Version 0.3.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.