CVE-2026-47723

Nome do Software Vulnerável e Versões Afetadas nebula-mesh versões anteriores a 0.3.0

Descrição Os caminhos de resposta em internal/web/ e internal/api/ não implementam os cabeçalhos de segurança padrão do navegador. A ausência de X-Frame-Options: DENY ou frame-ancestors 'none' na Política de Segurança de Conteúdo (CSP) permite ataques de clickjacking contra administradores que acessam /ui/operators/* ou /ui/cas/*. Além disso, a falta de X-Content-Type-Options: nosniff permite a confusão de MIME em superfícies de conteúdo fornecidas pelo usuário, e a ausência de HTTP Strict Transport Security (HSTS) em implantações TLS cria uma janela para ataques de downgrade de protocolo.

Recomendações Para versões anteriores a 0.3.0, implemente um middleware de cabeçalho de resposta na raiz do roteador chi para os caminhos /ui/* e /api/* para definir os seguintes cabeçalhos: Content-Security-Policy, X-Content-Type-Options, Referrer-Policy, X-Frame-Options e Strict-Transport-Security para requisições TLS.