Intel

CVE-2026-46716

Nezha Monitoring: RoleMember can run shell on every server (cross-tenant RCE) via POST /api/v1/cron in github.com/nezhahq/nezha

criticalEPSS 0.4 %

Beschreibung

Nezha Monitoring ist ein selbsthostbares, leichtgewichtiges Überwachungs- und Betriebswerkzeug für Server und Websites. Von Version 1.4.0 bis vor Version 2.0.8 konnte ein RoleMember-Benutzer eine geplante Cron-Aufgabe mit Cover=CronCoverAll, Servers=[] und einem beliebigen Befehl erstellen. Bei jedem Tick des Schedulers drückt das Dashboard diesen Befehl auf jeden Server in der globalen ServerShared-Karte – einschließlich Servern anderer Mieter (Admin-Server, andere Mitglieder). Jedes Agent führt den Befehl aus und gibt die Ausgabe zurück, die dann an die eigene NotificationGroup des Angreifers → angreiferkontrollierten Webhook gesendet wird. Dieses Problem wurde in Version 2.0.8 behoben.

Quelle: OSVOSVCVELISTV5CVEORG

Metriken

Severity
critical
Priority-Score
95.00
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
9.9
Quelle: nvd-v3
CVSS v3
9.9
CVSS v4
—
EPSS-Perzentil
36.3 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-06-25 18:43 UTC
CWE
CWE-78, CWE-269, CWE-862

Weakness-Klassen (CWE)

  • CWE-78Base

    Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

    The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

    cwe.mitre.org →

  • CWE-269Class

    Improper Privilege Management

    The product does not properly assign, modify, track, or check privileges for an actor, creating an unintended sphere of control for that actor.

    cwe.mitre.org →

  • CWE-862Class

    Missing Authorization

    The product does not perform an authorization check when an actor attempts to access a resource or perform an action.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-06-15 21:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://github.com/nezhahq/nezha/security/advisories/GHSA-99gv-2m7h-3hh9
  2. New CVE Received2026-06-12 22:16 UTC· security-advisories@github.com
    • Description: Nezha Monitoring is a self-hostable, lightweight, servers and websites monitoring and O&M tool. From version 1.4.0 to before version 2.0.8, a RoleMember user can create a scheduled cron task with Cover=CronCoverAll, Servers=[] and an arbitrary Command. At every tick of the scheduler, the dashboard pushes that command to every server in the global ServerShared map — including servers that belong to other tenants (admin's servers, other members' servers). Each agent runs the command and returns the output, which is then sent to the attacker's own NotificationGroup → attacker-controlled webhook. This issue has been patched in version 2.0.8.
    • CVSS V3.1: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
    • CWE: CWE-78
    • CWE: CWE-269

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • go

    github.com/nezhahq/nezha1.4.0

Quellen & Referenzen

Verknüpfte Empfehlungen

IDCVE-2026-46716