CVE-2026-46716 — RCE entre inquilinos en Nezha Monitoring mediante bypass de autorización en la API Cron

Un entorno de laboratorio para reproducir y detectar CVE-2026-46716, una vulnerabilidad crítica en Nezha Monitoring donde el endpoint POST /api/v1/cron carece de comprobaciones de privilegios de administrador, lo que permite a los usuarios RoleMember lograr ejecución remota de código entre inquilinos.

Resumen de la vulnerabilidad

Campo	Detalles
CVE ID	CVE-2026-46716
GHSA	GHSA-99gv-2m7h-3hh9
CVSS	9.9 (Crítica) — `AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H`
Versiones afectadas	nezhahq/nezha >= 1.4.0, < 1.14.15-0.20260517022419-d7526351cf97
Parcheada	v1.14.15-0.20260517022419-d7526351cf97 (commit d7526351cf97, 2026-05-17)
CWE	CWE-862 (Autorización faltante), CWE-269 (Gestión inadecuada de privilegios), CWE-78 (Inyección de comandos del sistema operativo)

Causa raíz

Vulnerable path:
POST /api/v1/cron  →  commonHandler (JWT auth only, no role check)
  → CheckPermission(servers=[])
    → iterates empty list → returns true unconditionally
      → CronTrigger dispatches command to ALL servers via ServerShared map
        ❌ No admin check, no ownership validation → cross-tenant RCE

Patched path:
POST /api/v1/cron  →  commonHandler (same — HTTP 200 still returned for members)
  → CheckPermission(servers=[]) → true (unchanged)
    → CronTrigger: cronCanSendToServer(cr, s) checks cr.UserID == s.UserID
      ✅ Commands only dispatched to servers owned by the cron creator

Requisitos previos del ataque

#	Condición	Detalles
1	Versión de Nezha afectada

Arquitectura del laboratorio

Host Machine
├── localhost:8008 ──→ Docker: nezha-vuln    (v1.14.14            ⚠ VULNERABLE)
└── localhost:8009 ──→ Docker: nezha-patched (commit d7526351cf97 ✓ PATCHED, built from source)

Requisitos previos

Herramienta	Instalación
Docker Desktop	docker.com
nuclei	`brew install nuclei`
curl, python3	preinstalados en macOS

Cómo ejecutar

Paso 1 — Configurar el entorno del laboratorio

bash scripts/01-setup.sh

Cuando termine:

══════════════════════════════════════════════════════
 Lab ready!
══════════════════════════════════════════════════════
 Vulnerable  (v1.14.14) : http://localhost:8008
 Patched     (latest) : http://localhost:8009
 Admin       : admin / admin
 Member      : member / Memberpass123!
══════════════════════════════════════════════════════

Nota: Si la API de creación de la cuenta de miembro difiere de lo esperado, créala manualmente a través de la interfaz de Nezha en http://localhost:8008 (Configuración → Usuarios).

Paso 2 — Disparar el CVE

bash scripts/03-trigger-cve.sh

Salida esperada — vulnerable (v1.14.14):

HTTP 200 — Cron created (id: 1)
⚠  RESULT: ADMIN CHECK BYPASSED — VULNERABLE

Salida esperada — parcheada:

HTTP 403 — Access denied
✓  RESULT: Admin check enforced — PATCHED

Paso 3 — Detección con Nuclei

# Clúster vulnerable → debería producir un hallazgo [critical]
nuclei -duc -t nuclei/CVE-2026-46716.yaml \
  -u http://localhost:8008 \
  -var username=admin \
  -var password=admin

# Clúster parcheado → no debería producir hallazgos
nuclei -duc -t nuclei/CVE-2026-46716.yaml \
  -u http://localhost:8009 \
  -var username=admin \
  -var password=admin

Paso 4 — Limpieza

bash scripts/99-teardown.sh

Estructura de directorios

nezha-cve-2026-46716-lab/
├── README.md
├── LAB_SETUP_GUIDE.md              # Lab setup guide (English)
├── VULNERABILITY_ANALYSIS.md       # Code-level vulnerability analysis (English)
├── NUCLEI_TEMPLATE_GUIDE.md        # Nuclei template design and test results (English)
├── docker-compose.yaml
│
├── REPORT/                         # Korean reports
│   ├── LAB_REPORT_KR.md
│   ├── Nuclei_Template_Report_KR.md
│   └── Vulnerability_Analysis_KR.md
│
├── nuclei/
│   └── CVE-2026-46716.yaml         # Nuclei detection template
│
└── scripts/
    ├── 01-setup.sh                 # Start containers, create member account
    ├── 03-trigger-cve.sh           # PoC: trigger auth bypass, verify result
    └── 99-teardown.sh              # Stop and remove all lab resources

Lógica de detección de la plantilla Nuclei

Step 1  POST /api/v1/login  (admin credentials)
        → authenticate and extract JWT token

Step 2  GET /api/v1/setting
        → version field matched against vulnerable range (1.4.x – 1.14.14)
        → match  →  FINDING: vulnerable version detected
        → no match (>= 1.14.15 or "debug")  →  no finding

Tanto las versiones vulnerables como las parcheadas devuelven HTTP 200 para POST /api/v1/cron con servers:[], cover:1 — la detección conductual no es posible. El parche solo añade validación de propiedad dentro de CronTrigger en el momento de la ejecución, no a nivel de API. Se requieren credenciales de administrador porque GET /api/v1/setting devuelve el campo version solo para usuarios RoleAdmin.

Referencias

Advertencia: Todas las credenciales de este laboratorio son datos de prueba ficticios con fines exclusivos de investigación de seguridad. No usarlas nunca en producción.

POC_CVE-2026-46716

Más Populares