CVE-2026-101088 in Nezha
Résumé
par VulDB • 27/09/2026
Nezha est un outil de surveillance des serveurs et des sites web. Dans les versions >= 2.2.11 et < 2.3.1, le worker sentinel du service (service/singleton/servicesentinel.go) contient une correction incomplète pour une déni de service par null dereference précédemment signalée (GHSA-qjpp-gffx-2wm9). La correction du 2026-07-21 a ré-validé le cycle de vie du service sous serviceResponseDataStoreLock, mais a réutilisé un pointeur reporter déjà capturé et désormais obsolète, sans jamais ré-valider le serveur ; par ailleurs, ce verrou ne protège pas ServerShared. Un utilisateur authentifié disposant du rôle membre qui possède un agent peut déclencher une suppression de serveur concurrente (POST /api/v1/batch-delete/server) pour son propre serveur afin d'exploiter la fenêtre de course, provoquant ainsi le worker à effectuer un null dereference sur une entrée manquante dans l'instantané de la liste des serveurs. Comme les workers sentinel et le serveur gRPC ne disposent pas d'un intercepteur recover()/recovery, le panic résultant n'est pas récupéré et provoque l'arrêt complet de l'instance. Cela est corrigé dans la version 2.3.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.