CVE-2026-101087 in Nezha
요약
\~에 의해 VulDB • 2026. 09. 27.
Nezha 버전 2.0.10부터 2.3.2까지에서는 사용자 구성 가능한 알림 및 DDNS 웹훅 URL을 검증하기 위해 제한된 HTTP 클라이언트를 사용하지만, 차단 목록(denylist)은 IPv6 전환 범위(특히 6to4 접두사 2002::/16와 로컬 전용 IPv4/IPv6 번역 접두사 64:ff9b:1::/48)를 포함하지 않았습니다. 이러한 주소는 Go의 netip.Addr.IsGlobalUnicast 검사를 만족하므로 URL 검증기가 이를 허용했습니다. 웹훅을 구성할 수 있는 인증된 사용자는 대시보드가 일반적으로 제한되는 IPv6 엔드포인트로 요청을 수행하도록 유도할 가능성이 있지만, 이는 오직 대시보드 네트워크가 이러한 전환 범위에 대해 비정상적이거나 표준 미준수 라우팅을 제공할 경우에만 가능합니다. IPv4 메타데이터, 루프백 또는 사설망 HTTP 요청으로의 직접적인 경로에 대한 공격은 아직 입증되지 않았습니다. 이 문제는 두 접두사를 모두 차단하는 버전 2.3.3(커밋 d1fcde8e)에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.