CVE-2026-47726 in nebula-mesh
요약
\~에 의해 VulDB • 2026. 07. 28.
nebula-mesh는 Slack Nebula 메시 가상 사설 클라우드(VPC)를 위한 자체 호스팅 제어 플레인입니다. 버전 0.3.2 이전의 internal/api/audit.go:12 — handleGetAuditLog 함수에서는 관리자 권한 확인이 수행되지 않습니다. 해당 라우트는 Bearer 인증 토큰 기반 접근 통제만 적용되며, 임의의 운영자 API 키를 사용하여 store.ListAuditEntries(최대 limit=1000) 호출을 통해 전체 감사 로그에 접근할 수 있습니다. 여기에는 크로스 테넌트 사용자 이름, 호스트/CA/운영자 ID, 작업 시간戳 및 속도 제한 거부로 인한 마스킹된 IP 주소 등이 포함되어 있어, 특정 테넌트가 서버의 활동 내역을 열거하거나 staffing 패턴을 추론하며 고가치 표적을 식별할 수 있는 충분한 정보를 노출합니다. 이 문제는 버전 0.3.2에서 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.