CVE-2026-49258 in nebula-mesh
Сводка
по VulDB • 28.07.2026
Nebula Mesh — это управляющая плоскость с поддержкой самостоятельного размещения для VPN-сети Slack Nebula mesh. В версиях 0.3.5 и более ранних веб-интерфейс (/ui/*) не применяет ограничение области видимости по CA (Certificate Authority), характерное для JSON API. Эта проблема была частично устранена в рамках GHSA-598g-h2vc-h5vg, однако изменения не были реализованы в части веб-интерфейса, отвечающей за чтение и мутации данных. Любой аутентифицированный оператор с правами ниже административных (например, созданный через саморегистрацию или OIDC) может получать доступ к ресурсам других операторов. Пути создания/редактирования хостов, мобильных профилей и сетей, а также все маршруты управления CA были правильно ограничены по области видимости с самого начала. Злоумышленник среди операторов мог блокировать или удалять хосты любого другого оператора, а также просматривать списки хостов и сетей всех операторов. Данная уязвимость исправлена в версии 0.3.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.