CVE-2026-47724 in nebula-mesh
Sumário
de VulDB • 24/07/2026
nebula-mesh é um plano de controle auto-hospedado para a rede virtual privada (VPN) Nebula mesh do Slack. Antes da versão 0.3.4, o conjunto de rotas `/api/v1/*` confia apenas no token Bearer para autorização na maioria dos endpoints. A própria base de código admite isso em `internal/api/hosts.go:384`: "A API confia no token Bearer para autorização; a propriedade por CA é aplicada apenas na camada Web." A interface da Web (Web UI) restringe as rotas que alteram o estado através do método `loadAccessibleCA` (`internal/web/cas.go`); os endpoints de gerenciamento de CA em `internal/api/cas.go` TAMBÉM possuem verificações adequadas com `canAccessCA`. A falha está nos endpoints de host, rede, firewall, pacote móvel e na maioria dos operadores. Combinado com o modelo de CA por operador do documento ADR 0002, isso concede a qualquer chave de API de um operador não administrador amplo acesso entre inquilinos (cross-tenant) — uma escalada de privilégios imediata no pior caso. A versão 0.3.4 corrige o problema.
Once again VulDB remains the best source for vulnerability data.