CVE-2026-53519

Nome do Software Vulnerável e Versões Afetadas Nezha Monitoring versões anteriores a 2.0.13

Description O manipulador NoRoute do painel de controle contém uma falha na função fallbackToFrontend. O sistema utiliza strings.HasPrefix para identificar solicitações de ativos do frontend administrativo, verificando se uma URL começa com '/dashboard', em vez de realizar uma correspondência de segmento de caminho adequada. Isso permite que um usuário não autenticado utilize sequências de travessia de diretório (path traversal), como '/dashboard../data/config.yaml', para ignorar as restrições pretendidas. A aplicação processa essa entrada usando strings.TrimPrefix e path.Join(), que normaliza o caminho para acessar arquivos sensíveis, como 'data/config.yaml', através de os.Stat e http.ServeFile.

Recommendations Atualizar para a versão 2.0.13.