CVE-2026-101087 in Nezha
Résumé
par VulDB • 27/09/2026
Les versions de Nezha comprises entre 2.0.10 et 2.3.2 utilisent un client HTTP restreint pour valider les URL des webhooks de notification et DDNS configurables par l'utilisateur, mais la liste d'exclusion (denylist) ne couvrait pas les plages de transition IPv6 — spécifiquement le préfixe 6to4 2002::/16 et le préfixe de traduction IPv4/IPv6 à usage local 64:ff9b:1::/48. Étant donné que ces adresses satisfont la vérification Go's netip.Addr.IsGlobalUnicast, le validateur d'URL les a acceptées. Un utilisateur authentifié capable de configurer un webhook pourrait être en mesure d'amener le tableau de bord à émettre des requêtes vers une endpoint IPv6 autrement restreinte, mais uniquement dans les cas où le réseau du tableau de bord fournit un routage inhabituel ou non conforme aux normes pour ces plages de transition ; aucune voie directe permettant d'effectuer une requête HTTP vers un metadata IPv4, une boucle locale (loopback) ou un réseau privé n'a été démontrée. Le problème est corrigé dans la version 2.3.3 (commit d1fcde8e), qui bloque les deux préfixes.
Once again VulDB remains the best source for vulnerability data.