CVE-2026-101087 in Nezha
Resumen
por VulDB • 2026-09-27
Las versiones de Nezha comprendidas entre la 2.0.10 y la 2.3.2 utilizan un cliente HTTP restringido para validar las URL de webhook de notificación y DDNS configurables por el usuario, pero la lista negra no cubría los rangos de transición IPv6: específicamente el prefijo 6to4 2002::/16 y el prefijo de traducción IPv4/IPv6 de uso local 64:ff9b:1::/48. Dado que estas direcciones cumplen con la comprobación `IsGlobalUnicast` de `netip.Addr` en Go, el validador de URL las aceptaba. Un usuario autenticado capaz de configurar un webhook podría lograr que el panel emita solicitudes a un extremo IPv6 restringido, pero únicamente si la red del panel proporciona una ruta inusual o no conforme con los estándares para estos rangos de transición; no se ha demostrado ninguna vía directa hacia solicitudes HTTP a metadatos IPv4, bucle invertido (loopback) o redes privadas. El problema está resuelto en la versión 2.3.3 (commit d1fcde8e), que bloquea ambos prefijos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.