Slack

nebula-mesh ist eine selbst gehostete Control Plane für das Slack-Nebula-Mesh-VPN. Vor Version 0.3.4 vertraut die Route /api/v1/* für die meisten Zugriffe allein dem übergebenen Bearer-Token zur Autorisierung. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 0.3.4.

Nebula Mesh ist eine selbst gehostete Control-Plane für das Slack-Nebula-Mesh-VPN. In Version 0.3.5 und früher wendet die Web-Oberfläche (/ui/*) laut NVD nicht dieselbe Pro-Operator-CA-Scoping-Prüfung an wie die JSON-API. CVSS-Basiswert: 8.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Im skalierbaren Overlay-Netzwerktool Nebula (Versionen 1.7.0 bis 1.10.2) ist es bei Verwendung von P256-Zertifikaten (nicht die Standardkonfiguration) möglich, einen Blocklist-Eintrag zu umgehen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In badlogic pi-mono bis Version 0.58.4 besteht eine Schwachstelle in einer unbekannten Verarbeitung der Datei packages/mom/src/slack.ts der Komponente pi-mom Slack Bot. Durch Manipulation kann die Schwachstelle ausgenutzt werden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

nebula-mesh ist eine selbst gehostete Steuerungsebene für das VPN Slack Nebula. In Versionen vor 0.3.1 setzt keiner der Antwortpfade in internal/web/ oder internal/api/ die üblichen Browser-Sicherheits-Header. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 0.3.1 oder neuer aktualisieren.

nebula-mesh ist eine selbstgehostete Control-Plane für das Slack-Nebula-Mesh-VPN. Laut NVD-Eintrag baut der PKI-Resolver (internal/pki/resolver.go, Zeilen 36–64) vor Version 0.3.7 den CAManager mit einem im Klartext vorliegenden ed25519-Private-Key auf. Weder CVSS-Basiswert noch EPSS-Kennzahl liegen für diesen Eintrag vor, die Einstufung erfolgt daher mit dem neutralen Schweregrad Mittel. Empfohlene Massnahme: Update auf Version 0.3.7 oder neuer einspielen.

nebula-mesh ist eine selbst gehostete Control-Plane für das Slack-Nebula-Mesh-VPN. In Versionen vor 0.3.2 interpoliert der Konfigurationsgenerator (internal/configgen/generator.go) operator-gelieferte Werte in die erzeugte Konfiguration, ohne sie ausreichend abzusichern. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor; ebenso ist kein EPSS-Wert vorhanden. Empfohlene Massnahme: auf nebula-mesh 0.3.2 oder neuer aktualisieren.

nebula-mesh, eine selbstgehostete Kontrollebene für ein Slack-Nebula-Mesh-VPN, prüft laut Quelle vor Version 0.3.2 in der Funktion handleGetAuditLog (internal/api/audit.go) keine Administratorrechte. Die Route ist laut Beschreibung nur über ein Bearer-Token abgesichert, ohne weitere Rechteprüfung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher erfolgt die Einstufung mit dem neutralen Schweregrad Mittel. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt ebenfalls nicht vor. Die CVE ist bislang nicht im CISA-KEV-Katalog gelistet.

In der Notification-Webhook-Funktion von Red Hat Quay akzeptieren die Slack- und die generischen Webhook-Handler benutzerdefinierte URLs ohne SSRF-Validierung. Dadurch kann ein Repository-Administrator serverseitige Anfragen (Server-Side Request Forgery) auslösen. CVSS-Basiswert: 5.5 (Mittel).

nebula-mesh ist eine selbstgehostete Steuerungsebene für ein Slack-Nebula-Mesh-VPN. Vor Version 0.3.2 setzen die Dateien internal/web/session.go und internal/web/oidc.go laut Quelle HttpOnly und SameSite=Lax nicht auf jedem gesetzten Cookie. Ein CVSS-Basiswert liegt für diesen Eintrag nicht vor, daher erfolgt die Einstufung mit dem neutralen Schweregrad Mittel. Betroffen sind laut Produktzuordnung Zyxel und Slack. Empfohlene Massnahme: auf Version 0.3.2 oder neuer aktualisieren.

nebula-mesh ist eine selbst gehostete Control-Plane für das Slack-Nebula-Mesh-VPN. Vor Version 0.3.3 besteht laut NVD ein Schwachpunkt in der Verarbeitung von Schreibanfragen (POST, PUT, PATCH, DELETE) unter dem Pfad /ui/*. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

nebula-mesh ist eine selbstgehostete Steuerungsebene für ein Slack-Nebula-Mesh-VPN. Vor Version 0.3.2 wird laut NVD ein neu ausgestellter Operator-API-Key über eine Redirect-URL offengelegt und kann dadurch in Referer-Headern, im Browser-Verlauf oder in Proxy-Logs auftauchen. CVSS-Basiswert: 5.5 (Mittel). Ein EPSS-Wert liegt für diesen Eintrag nicht vor.