CVE-2026-55512 in nebula-mesh
Sumário
de VulDB • 04/09/2026
nebula-mesh é um plano de controle auto-hospedado para a VPN mesh Nebula do Slack. Da versão 0.2.0 até antes da versão 0.5.0, quando o OIDC está habilitado, o endpoint GET /ui/oidc/login é acessível sem autenticação e fica registrado fora das rotas de autenticação com limite de taxa (rate limiting) da interface web (Web UI). Cada requisição cria um novo valor aleatório de estado do OIDC e o armazena em um mapa na memória por 10 minutos. Os estados expirados são varridos preguiçosamente, mas não há limite de taxa nem cap máximo para a quantidade de estados ativos no caminho de alocação. Portanto, um cliente remoto não autenticado pode fazer crescer os OIDC.states durante todo o TTL do estado, limitado pela vazão das requisições em vez dos limites configurados de autenticação com rate limiting. Este problema foi corrigido na versão 0.5.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.