CVE-2026-49258 in nebula-mesh
요약
\~에 의해 VulDB • 2026. 07. 28.
Nebula Mesh는 Slack Nebula 메시 VPN을 위한 자체 호스팅 제어 플레인입니다. 버전 0.3.5 이하에서 웹 UI(/ui/*)는 JSON API가 적용하는 운영자별 CA 스코핑을 적용하지 않습니다. 이는 GHSA-598g-h2vc-h5vg를 통해 부분적으로 해결되었으나, 해당 변경사항은 웹 읽기/변경 표면에는 구현되지 않았습니다. 인증된 비관리자 운영자(예: 셀프 등록 또는 OIDC를 통해 생성된 사용자)는 다른 운영자의 리소스에 접근할 수 있습니다. 호스트 생성/편집/mobile-bundle/network-create 경로 및 모든 CA 관리 라우트는 이미 올바르게 스코핑되어 있었습니다. 악의적인 운영자는 다른 임의의 운영자의 호스트를 차단하거나 삭제하거나, 임의의 운영자의 호스트와 네트워크를 읽을 수 있습니다. 이 문제는 버전 0.3.6에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.