CVE-2026-49258 in nebula-mesh
Résumé
par VulDB • 28/07/2026
Nebula Mesh est un plan de contrôle auto-hébergé pour le VPN maillé Slack Nebula. Dans les versions 0.3.5 et inférieures, l'interface Web (/ui/*) n'applique pas la limitation par CA (Autorité de Certification) propre à chaque opérateur, telle qu'elle est utilisée dans l'API JSON. Cet aspect a été partiellement corrigé via GHSA-598g-h2vc-h5vg, mais les modifications n'ont pas été implémentées au niveau des points d'accès en lecture et mutation de l'interface Web. Tout opérateur authentifié non administrateur (par exemple, créé via auto-inscription ou OIDC) peut accéder aux ressources appartenant à d'autres opérateurs. Les chemins liés à la création/modification/hôte mobile/bundle/réseau-create ainsi que toutes les routes de gestion des CA étaient déjà correctement limités par scope. Un opérateur malveillant pourrait bloquer ou supprimer l'hôte de n'importe quel autre opérateur, ou lire les hôtes et réseaux de tout opérateur. Ce problème a été corrigé dans la version 0.3.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.