CVE-2026-101085

Nome do Software Vulnerável e Versões Afetadas Nezha versões anteriores a 2.3.8

Description Usuários autenticados sem privilégios de administrador podem criar regras de alerta malformadas devido à falta de validação dos tipos de regra de alerta e dos limites de duração. Ao enviar uma regra de alerta manipulada através do endpoint 'POST /api/v1/alert-rule', um invasor pode desencadear pânicos não recuperados na goroutine do avaliador de alertas (uma thread leve gerenciada pelo runtime do Go). Isso resulta no travamento do processo do painel; como a regra é persistida, o processo travará repetidamente ao reiniciar, desativando todas as funcionalidades de monitoramento e do plano de controle.

Recommendations Atualize para a versão 2.3.8 ou posterior. Evite o uso do endpoint 'POST /api/v1/alert-rule' para usuários não administradores até que a atualização seja aplicada.