CVE-2026-47724 in nebula-mesh
Riassunto
di VulDB • 23/07/2026
nebula-mesh è un piano di controllo self-hosted per la rete virtuale privata (VPN) Slack Nebula mesh. Prima della versione 0.3.4, l'insieme delle rotte `/api/v1/*` si affida esclusivamente al token bearer per l'autorizzazione sulla maggior parte degli endpoint. Il codice stesso ammette questo comportamento in `internal/api/hosts.go:384`: "L'API si fida del token bearer per l'autorizzazione; la proprietà per-CA è applicata solo nello strato Web". L'interfaccia utente Web (Web UI) protegge le rotte che modificano lo stato tramite `loadAccessibleCA` (`internal/web/cas.go`); gli endpoint di gestione CA in `internal/api/cas.go` hanno inoltre adeguati controlli `canAccessCA`. La lacuna riguarda invece gli endpoint relativi a host, rete, firewall, bundle per dispositivi mobili e la maggior parte degli operatori. In combinazione con il modello per-CA dell'operatore descritto nell'ADR 0002, ciò consente a qualsiasi chiave API di un operatore non amministratore un ampio accesso cross-tenant — causando una escalation dei privilegi immediata nel caso peggiore. La versione 0.3.4 risolve il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.