CVE-2026-101087

Nome do Software Vulnerável e Versões Afetadas Nezha versões 2.0.10 through 2.3.2

Description O software utiliza um cliente HTTP restrito para validar URLs de webhook de notificação e DDNS configuráveis pelo usuário. No entanto, a lista de negação não abrange intervalos de transição IPv6 específicos, nomeadamente o prefixo 6to4 2002::/16 e o prefixo de tradução IPv4/IPv6 de uso local 64:ff9b:1::/48. Como esses endereços satisfazem a verificação netip.Addr.IsGlobalUnicast do Go, o validador de URL os aceita. Um usuário autenticado com privilégios de configuração de webhook pode fazer com que o painel envie solicitações para endpoints IPv6 restritos, desde que o ambiente de rede utilize roteamento não compatível com os padrões para esses intervalos de transição.

Recommendations Atualizar para a versão 2.3.3.