CVE-2026-49258 in nebula-mesh
Riassunto
di VulDB • 29/07/2026
Nebula Mesh è un piano di controllo self-hosted per la VPN mesh Nebula di Slack. Nelle versioni 0.3.5 e precedenti, l'interfaccia web (/ui/*) non applica il vincolo (scoping) basato sulla CA per operatore utilizzato dall'API JSON. Questo problema era stato parzialmente affrontato da GHSA-598g-h2vc-h5vg, ma le modifiche non sono state implementate nella superficie di lettura e mutazione dell'interfaccia web. Qualsiasi operatore autenticato non amministratore (ad esempio, uno creato tramite registrazione autonoma o OIDC) può accedere alle risorse appartenenti ad altri operatori. I percorsi host create/edit/mobile-bundle/network-create e tutte le rotte per la gestione delle CA erano già correttamente vincolate. Un operatore malintenzionato potrebbe bloccare o eliminare l'host di qualsiasi altro operatore, oppure leggere gli host e le reti di qualsiasi operatore. Questo problema è stato risolto nella versione 0.3.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.