FICHE CVE

CVE-2026-105113

Publiée le 2026-10-03 · Dernière modification le 2026-10-05

🇫🇷 EN BREF

Les versions 1.8.0 à 2.3.12 de Nezha Dashboard sont affectées par une faille dans la manière dont le logiciel gère le verrouillage de la mémoire. Un attaquant disposant d'un compte standard sans privilèges d'administrateur peut envoyer un petit nombre de requêtes API pour geler le sous-système d'alerte et, à terme, provoquer le plantage du serveur en épuisant sa mémoire. Cette attaque peut être effectuée à distance via le réseau et ne nécessite aucune action de la part d'un utilisateur, comme cliquer sur un lien ou interagir avec le système.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

Verrouillage incorrect · CWE-667

Publiée2026-10-03

Dernière modification2026-10-05

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Nezha Dashboard from 1.8.0 before 2.3.13 contains an improper locking vulnerability where a non-deferred mutex unlock leaks on a nil-map panic path. Any authenticated non-admin member can issue four notification API calls to permanently deadlock the alerting subsystem, then exhaust memory with blocking requests.