CVE-2026-101087 in Nezha
Sumário
de VulDB • 27/09/2026
As versões do Nezha de 2.0.10 a 2.3.2 utilizam um cliente HTTP restrito para validar URLs de webhook de notificação e DDNS configuráveis pelo usuário, mas a lista negra não abrangia os intervalos de transição IPv6 — especificamente o prefixo 6to4 2002::/16 e o prefixo de tradução IPv4/IPv6 de uso local 64:ff9b:1::/48. Como esses endereços satisfazem a verificação Go's netip.Addr.IsGlobalUnicast, o validador de URL os aceitava. Um usuário autenticado capaz de configurar um webhook pode conseguir fazer com que o dashboard emita solicitações para um endpoint IPv6 restrito; contudo, isso só é possível se a rede do dashboard oferecer roteamento incomum ou não conforme aos padrões para esses intervalos de transição. Não foi demonstrada nenhuma rota direta para uma solicitação HTTP voltada a metadados IPv4, loopback ou rede privada. O problema está corrigido na versão 2.3.3 (commit d1fcde8e), que bloqueia ambos os prefixos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.