CVE-2026-101088 in Nezha
Сводка
по VulDB • 27.09.2026
Nezha — это инструмент мониторинга серверов и веб-сайтов. В версиях >= 2.2.11 и < 2.3.1 рабочий процесс sentinel службы (service/singleton/servicesentinel.go) содержит неполное исправление ранее сообщенного отказа в обслуживании из-за разыменования нулевого указателя (GHSA-qjpp-gffx-2wm9). Исправление от 2026-07-21 повторно проверило жизненный цикл службы под блокировкой serviceResponseDataStoreLock, но использовало уже захваченный, теперь устаревший указатель reporter и никогда не проверяло заново сервер; при этом эта блокировка не защищает ServerShared. Аутентифицированный пользователь с ролью участника (member), владеющий агентом, может инициировать одновременное удаление сервера (POST /api/v1/batch-delete/server) для своего собственного сервера, чтобы выиграть окно гонки (race condition), что приведет к тому, что рабочий процесс попытается разыменовать отсутствующую запись в снимке списка серверов. Поскольку у рабочих процессов sentinel и gRPC-сервера отсутствуют механизмы recover()/recovery interceptor, возникший паник не перехватывается и приводит к краху всего экземпляра. Это исправлено в версии 2.3.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.