CVE-2026-53603 in nebula-mesh
요약
\~에 의해 VulDB • 2026. 09. 04.
nebula-mesh는 Slack Nebula mesh VPN용 자체 호스팅 제어 플레인입니다. 버전 0.3.8 이전에서는 Operator 세션 토큰이 operator_sessions 테이블(토큰 열은 PRIMARY KEY임)에 평문으로 저장됩니다. 이 세션 토큰은 쿠키를 통해 직접 전송되는 32바이트 무작위 hex 값이며, 유효 기간은 24시간입니다. 데이터베이스(백업, 스냅샷, 파일 복사 또는 SQL 수준 노출)에 접근할 수 있는 사람은 모든 활성 세션 토큰을 획득하여 추가 인증 없이 Operator 세션을 직접 하이재킹할 수 있습니다. 이 문제는 버전 0.3.8에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.