CVE-2026-63464 in Nebula Mesh
Zusammenfassung
von VulDB • 04.09.2026
nebula-mesh ist eine selbst gehostete Control Plane für Slack Nebula Mesh VPN. Ab Version 0.6.0 bis vor Version 0.7.2 können nicht-Admin-Betreiber (Rolle: Benutzer) allow_private: true auf ihren eigenen verwalteten Webhook-Abonnements festlegen (POST/PATCH /api/v1/webhook-subscriptions). Für dieses Feld existiert keine Admin-Prüfung. Zum Zeitpunkt der Zustellung schaltet allow_private den Dispatcher zu einem ungeschützten HTTP-Client um, wodurch die SSRF-Schutzmechanismen für private/Loopback-/Link-local-Adressen umgangen werden – was es einem Operator mit niedrigen Berechtigungen ermöglicht, Serveranfragen an interne Adressen zu senden. Dieses Problem wurde in Version 0.7.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.