CVE-2026-111384
Beschrijving NL
Nezha 1.0.0 voor 2.3.15 bevat een kwetsbaarheid voor geheugenuitputting in het dashboard bestandsbeheerder WebSocket-eindpunt omdat fmStream nooit SetReadLimit aanroept, waardoor de berichtgrootte onbegrensd blijft. Geverifieerde gebruikers met scopes voor bestandsbeheer kunnen één extra groot binair bericht sturen naar /api/v1/ws/file/:id, waardoor een oom kill wordt geactiveerd die alle agentbewaking laat vallen.
Origineel (Engels) tonen
Nezha 1.0.0 before 2.3.15 contains a memory exhaustion vulnerability in the dashboard file manager WebSocket endpoint because fmStream never calls SetReadLimit, leaving message size unbounded. Authenticated users with file manager scopes can send one oversized binary message to /api/v1/ws/file/:id, triggering an OOM kill that drops all agent monitoring.