CVE-2026-53519
严重已发布
哪吒监控：通过 /dashboard.. 前缀混淆实现未授权路径遍历，泄露 jwt_secret_key
- 已发布
- 2026年6月12日
- 已更新
- 2026年6月15日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月17日
初级CVSS
9.1/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N1.9%
低 · 未来 30 天
- 百分位
- 78.8%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Nezha Monitoring 是一款可自托管、轻量级的服务器和网站监控与运维工具。在 2.0.13 版本之前，仪表板中 NoRoute 处理器的 fallbackToFrontend 会将任何原始字符串以 /dashboard 开头的 URL 视为管理前端静态资源请求。该检查使用 strings.HasPrefix 而非路径段匹配，因此输入 /dashboard../data/config.yaml 会被接受；strings.TrimPrefix 会留下 ../data/config.yaml；而 path.Join("admin-dist", "../data/config.yaml") 会规范化为 data/config.yaml——os.Stat 能够找到该文件，http.ServeFile 会将其返回。此过程无需任何身份验证。该问题已在 2.0.13 版本中修复。
来源
2CVE-2026-53519 的 PoC 漏洞利用程序。
一个复现 CVE-2026-53519 的 Docker 实验环境，该漏洞是 Nezha Dashboard 中的预认证路径遍历漏洞，可泄露 jwt_secret_key 并导致 JWT 伪造和管理员接管。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。