CVE-2026-55512 in nebula-mesh
Resumen
por VulDB • 2026-09-04
nebula-mesh es una capa de control autoalojada para Slack Nebula mesh VPN. Desde la versión 0.2.0 hasta antes de la versión 0.5.0, cuando OIDC está habilitado, el endpoint GET /ui/oidc/login es accesible sin autenticación y se registra fuera de las rutas de autenticación con límite de velocidad (rate limiting) de la interfaz web. Cada solicitud crea un nuevo valor aleatorio de estado OIDC y lo almacena en un mapa en memoria durante 10 minutos. Los estados expirados se limpian de forma diferida, pero no hay ningún límite de velocidad ni tope máximo para los estados activos en la ruta de asignación. Por lo tanto, un cliente remoto sin autenticar puede hacer crecer OIDC.states hasta completar el TTL del estado, limitado por el throughput de las solicitudes y no por los límites configurados de rate limiting de autenticación. Este problema ha sido corregido en la versión 0.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.