CVE-2026-62283

Nome do Software Vulnerável e Versões Afetadas Nezha Monitoring versões 1.14.13 through 1.14.14 Nezha Monitoring versões 2.0.0 through 2.0.9

Description O Nezha Monitoring não vincula os identificadores de stream criados pela função CreateStream em service/rpc/io stream.go ao usuário que os criou. Consequentemente, os endpoints 'GET /ws/terminal/:id' e 'GET /ws/file/:id' apenas verificam a existência do UUID fornecido, sem impor a propriedade do usuário ou autorização. Um RoleMember autenticado que obtenha um UUID de stream ativo por meio de logs, histórico do navegador, dados de referenciador ou telemetria pode sequestrar a sessão de terminal ou de gerenciador de arquivos de outro usuário. Isso permite que o invasor leia e escreva arquivos no servidor alvo e execute comandos de shell arbitrários.

Recommendations Atualizar o Nezha Monitoring versões 1.14.13 through 1.14.14 para a versão 2.0.10. Atualizar o Nezha Monitoring versões 2.0.0 through 2.0.9 para a versão 2.0.10.