CVE-2026-63464 in Nebula Mesh
요약
\~에 의해 VulDB • 2026. 09. 04.
nebula-mesh는 Slack Nebula mesh VPN을 위한 자체 호스팅 제어 플레인입니다. 버전 0.6.0부터 버전 0.7.2 이전까지, 비관리자 운영자(역할: user)는 자신의 관리 웹훅 구독에 대해 allow_private: true를 설정할 수 있습니다(POST/PATCH /api/v1/webhook-subscriptions). 이 필드에는 관리자 확인이 존재하지 않습니다. 전달 시점에서 allow_private는 디스패처를 방어가 없는 HTTP 클라이언트로 전환하여, private/loopback/link-local SSRF 가드를 우회합니다. 이를 통해 권한이 낮은 운영자가 서버로 하여금 내부 주소에 대한 요청을 수행할 수 있습니다. 이 문제는 버전 0.7.2에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.