CVE-2026-59155

Nome do Software Vulnerável e Versões Afetadas Nezha Monitoring versões anteriores a 2.2.5

Descrição O software falha ao redigir informações sensíveis ao retornar objetos de recurso. Administradores autenticados ou Tokens de Acesso Pessoal (PAT) com escopos nezha:ddns:read ou nezha:notification:read podem recuperar credenciais de API de terceiros em texto simples. Isso inclui tokens de API da Cloudflare, SecretKeys da TencentCloud, URLs de webhook do Slack, Discord e Telegram contendo tokens de bot, bem como valores do cabeçalho de Autorização. A exposição ocorre por meio dos manipuladores listDDNS e listNotification através dos endpoints 'GET /api/v1/ddns' e 'GET /api/v1/notification'.

Recomendações Atualize para a versão 2.2.5.