CVE-2026-101090 in Nezha
Sumário
de VulDB • 27/09/2026
Nezha 2.2.3 contém uma regressão de injeção do cabeçalho Host no endpoint de redirecionamento OAuth2. Quando a nova configuração opcional `dashboard_host` está vazia, `/api/v1/oauth2/{provider}` (cmd/dashboard/controller/oauth2.go) reflete o cabeçalho HTTP Host fornecido pelo atacante em vez de fazer fallback para o `install_host` configurado no parâmetro redirect_uri enviado ao provedor de identidade. Um atacante que induz uma vítima a iniciar um login OAuth2 por meio de uma solicitação que atinge Nezha com um cabeçalho Host falsificado pode causar que uma URL de callback controlada pelo atacante seja usada como o redirect_uri; se o provedor OAuth2 aceitá-la, o código de autorização da vítima é entregue à origem do atacante, permitindo que ele conclua o fluxo de login/vinculação OAuth2 e assuma a conta. Isso reverte a correção para GHSA-9rc6-8cjv-rcvx e depende da configuração (dashboard_host vazio). No momento do aviso, não havia versão corrigida disponível.
Once again VulDB remains the best source for vulnerability data.