CVE-2026-62283: Nezha Monitoring: sequestro de sessão de terminal e gerenciador de arquivos entre usuários via UUID de stream WebSocket sem verificação de dono

Visão geral

A CVE-2026-62283 é uma falha de autorização (CWE-639, referência direta insegura a objeto) no Nezha Monitoring. Os identificadores de stream criados para sessões de terminal e de gerenciador de arquivos não ficam vinculados ao usuário que os criou, e os endpoints WebSocket apenas verificam se o identificador existe. Os detalhes estão no aviso de segurança do GitHub e no registro na NVD.

Impacto

Segundo a descrição, um membro autenticado pode se conectar a uma sessão de terminal ou de gerenciador de arquivos que pertence a outro usuário.
A descrição indica que isso pode permitir ler e gravar arquivos no servidor alvo e executar comandos de shell.
A pontuação CVSS é 9,9, e o vetor registra alto impacto em confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

Produto: Nezhahq Nezha.
Faixa afetada: de 1.14.13 até 1.14.14 inclusive.
Faixa afetada: de 2.0.0 até 2.0.9 inclusive.
A correção está na versão 2.0.10. A lista de correções do registro está vazia, então não há entrada separada de versão corrigida.

Status de exploração

O registro mostra que a vulnerabilidade não está listada no catálogo KEV da CISA. Nenhuma exploração ativa ou explorada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0,00551, com percentil de 0,45301, datada de 2026-10-23. O registro SSVC indica exploração como none e automatizável como no.

Correção e mitigação

Atualize para a versão 2.0.10, indicada na descrição como a correção.
O registro não mostra correção para a faixa afetada anterior, de 1.14.13 até 1.14.14 inclusive. Trate essa faixa como vulnerável até que o fornecedor confirme o contrário.
Revise quais contas possuem papel de membro e limite o acesso a terminal e gerenciador de arquivos aos usuários que precisam dele.
Trate os identificadores de stream como dados sensíveis e evite que apareçam em logs, dados de referer e telemetria sempre que possível.
Restrinja o acesso de rede à interface de gerenciamento quando for viável.

Orientação para detecção

Revise logs da aplicação e do servidor web em busca de requisições WebSocket para os endpoints de terminal e de arquivos em que a conta solicitante seja diferente do dono da sessão, se a aplicação registrar essa informação.
Procure atividade de terminal ou de gerenciador de arquivos fora do trabalho normal de administração.
Verifique se identificadores de stream aparecem em logs de acesso, logs de proxy ou dados de monitoramento que muitas pessoas podem ler.

Limitações das informações disponíveis

O registro não informa se existe correção separada para a faixa afetada anterior.
As fontes consultadas não confirmam a disponibilidade de exploit nem atividade na natureza além do status no KEV.
O registro não traz detalhes técnicos de reprodução, e esta análise não os fornece.
Como um UUID de stream seria obtido em um ambiente real é descrito no registro apenas em termos gerais.

Perguntas frequentes

A CVE-2026-62283 está sendo explorada ativamente?

O registro mostra que a vulnerabilidade não está listada no catálogo KEV da CISA. Nenhuma exploração ativa ou na natureza aparece nas fontes consultadas.

Qual versão corrige o problema?

A descrição e o aviso referenciado indicam a versão 2.0.10 como corrigida. O registro não mostra correção para a faixa afetada anterior, de 1.14.13 até 1.14.14 inclusive.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.