CVE-2026-55512 in nebula-mesh
要約
〜によって VulDB • 2026年09月04日
nebula-meshは、Slack Nebula mesh VPN用の自己ホスト型コントロールプレーンです。バージョン0.2.0からバージョン0.5.0未満の間、OIDCが有効化されている場合、GET /ui/oidc/loginへのアクセスには認証が必要なく、Web UIのレート制限付き認証ルーティングの外側に登録されています。すべてのリクエストは新しいランダムなOIDCステート値を作成し、10分間メモリ内のマップに保存します。期限切れのステートは遅延スキャンによって削除されますが、割り当てパスにはレート制限や最大ライブステートの上限がありません。したがって、認証されていないリモートクライアントは、リクエストのスループットによって制約されるものの、完全なステートTTL（生存時間）にわたってOIDC.statesを成長させることができます。この問題はバージョン0.5.0で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.