PT-2026-60105 · Unknown · Nebula-Mesh
Publicado
2026-07-14
·
Atualizado
2026-07-15
·
CVE-2026-55512
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
Nome do Software Vulnerável e Versões Afetadas
Nebula-mesh versões 0.2.0 até 0.3.8
Description
Quando o OIDC está habilitado, a aplicação está suscetível a uma negação de serviço via exaustão de memória. Um cliente remoto não autenticado pode enviar solicitações repetidamente para o endpoint
GET /ui/oidc/login, que não é protegido pelo middleware de limitação de taxa de autenticação. Cada solicitação aciona a função HandleLogin() para gerar um valor de estado OIDC aleatório e armazená-lo em um mapa na memória por 10 minutos. Como não há um limite máximo para o número de estados ativos ou limitação de taxa neste caminho específico, um invasor remoto pode causar um crescimento significativo da memória na camada de aplicação, levando à degradação da disponibilidade.Recommendations
Aplicar o limitador de taxa
auth ao endpoint GET /ui/oidc/login.
Implementar um limite máximo para o número de estados OIDC ativos permitidos por cliente ou globalmente, garantindo que o sistema falhe de forma segura quando o limite for atingido.Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nebula-Mesh