CVE-2026-100394

Nome do Software Vulnerável e Versões Afetadas Nezha Monitoring versões 2.2.7 até 2.2.10

Descrição Ocorre uma desreferenciação de ponteiro nulo na função ServiceSentinel.worker em service/singleton/servicesentinel.go. O problema surge quando o worker verifica um serviço proprietário sob servicesLock e, posteriormente, desreferencia as entradas serviceStatusToday e serviceCurrentStatusData sob serviceResponseDataStoreLock sem revalidar se ServiceSentinel.Delete as removeu. Um RoleMember pode desencadear isso ao reportar resultados TCP ou ICMP simultaneamente através de seu próprio agente e excluir o mesmo serviço proprietário. Como o servidor gRPC não possui um interceptor de recuperação, o pânico do worker encerra todo o processo do painel, interrompendo a interface web, a API REST e as conexões de agentes de todos os locatários. O problema afeta apenas a disponibilidade e não expõe nem modifica dados.

Recomendações Atualize para a versão 2.2.11 ou 2.3.0.