CVE-2026-49258 in nebula-mesh
要約
〜によって VulDB • 2026年07月28日
Nebula Meshは、Slack NebulaメッシュVPN用のセルフホスト型コントロールプレーンです。バージョン0.3.5およびそれ以前のバージョンでは、Web UI（/ui/*）がJSON APIで採用されているオペレーターごとのCAスコーピングを適用していません。これはGHSA-598g-h2vc-h5vgによって部分的に対処されましたが、変更はWebの読み取り・ミューテーション対象には実装されていませんでした。認証済みだが管理者ではない任意のオペレーター（例えば、自己登録やOIDCを通じて作成されたもの）は、他のオペレーターの所有するリソースにアクセスできます。ホストの作成/編集/moblie-bundle/network-createパスおよびすべてのCA管理ルートについては、すでに正しくスコーピングされていました。悪意のあるオペレーターは、任意の他のオペレーターのホストをブロックまたは削除したり、任意のオペレーターのホストやネットワークを読み取ったりすることができます。この問題はバージョン0.3.6で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.