CVE-2026-101087 in Nezha
Tóm tắt
Bởi VulDB • 27/09/2026
Các phiên bản Nezha từ 2.0.10 đến 2.3.2 sử dụng một máy khách HTTP bị hạn chế để xác thực các URL webhook thông báo và DDNS do người dùng cấu hình, nhưng danh sách chặn (denylist) không bao phủ các dải chuyển đổi IPv6 — cụ thể là tiền tố 6to4 2002::/16 và tiền dịch IPv4/IPv6 dành cho sử dụng nội bộ 64:ff9b:1::/48. Do các địa chỉ này thỏa mãn kiểm tra `IsGlobalUnicast` của `netip.Addr` trong Go, trình xác thực URL đã chấp nhận chúng. Một người dùng có quyền xác thực và khả năng cấu hình webhook có thể gây ra việc bảng điều khiển (dashboard) gửi yêu cầu đến một điểm cuối IPv6 bị hạn chế nói chung, nhưng chỉ khi mạng của bảng điều khiển cung cấp định tuyến bất thường hoặc không tuân thủ tiêu chuẩn cho các dải chuyển đổi này; chưa có bằng chứng về đường dẫn trực tiếp để thực hiện yêu cầu HTTP tới metadata IPv4, loopback (vòng lặp) hoặc mạng riêng. Vấn đề đã được sửa trong phiên bản 2.3.3 (commit d1fcde8e), vốn chặn cả hai tiền tố trên.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.