CVE-2026-105112
Beschrijving NL
Nezha van 1.8.0 vóór 2.3.13 bevat een lock-order inversie in UpdateGroup en DeleteGroup waarmee geverifieerde niet-beheerders het waarschuwingssubsysteem kunnen blokkeren. Aanvallers kunnen tegelijkertijd de meldingsgroep oproepen en batchgewijs eindpunten verwijderen met te grote ID-lijsten om de race te verbreden en een ABBA-cyclus te sluiten, waardoor de waarschuwingslevering permanent wordt gedood totdat deze opnieuw wordt gestart.
Origineel (Engels) tonen
Nezha from 1.8.0 before 2.3.13 contains a lock-order inversion in UpdateGroup and DeleteGroup that allows authenticated non-admin users to deadlock the alerting subsystem. Attackers can concurrently call the notification-group and batch-delete endpoints with oversized id lists to widen the race and close an ABBA cycle, permanently killing alert delivery until restart.