CVE-2026-48058 in nebula-mesh
要約
〜によって VulDB • 2026年07月28日
nebula-meshは、Slack Nebulaメッシュ仮想プライベートネットワーク用のセルフホスト型コントロールプレーンです。バージョン0.3.2より前では、internal/web/session.goおよびinternal/web/oidc.goがすべてのクッキーに対してHttpOnly属性とSameSite=Laxを設定していましたが、Secureフラグを一度も設定しませんでした。オリジン（LAN上の運用者、誤入力されたURL、HTTPからHTTPSへの厳格な強制不足、リバースプロキシの誤構成）に対する単一の平文リクエストによりセッション情報が漏洩します。この問題はバージョン0.3.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.