CVE-2026-62283 in Nezha
要約
〜によって VulDB • 2026年08月21日
Nezha Monitoringは、自己ホスト可能で軽量なサーバーおよびウェブサイト監視・運用管理ツールです。Nezhaのバージョン1.14.13から1.14.14、および2.0.0から2.0.9では、service/rpc/io_stream.go内でCreateStreamによって作成されたストリーム識別子がその生成ユーザーにバインドされず、`GET /ws/terminal/:id`および`GET /ws/file/:id`は提供されたUUIDが存在するかどうかのみをチェックします。ログ、ブラウザ履歴、リファラーデータ、またはテレメトリからライブストリームのUUIDを取得した認証済みRoleMemberは、他のユーザーのターミナルまたはファイルマネージャーセッションにアタッチし、対象サーバーのファイルを読み書きしたり、シェルコマンドを実行したりできます。この問題はバージョン2.0.10で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.