注目★★★★★GitHub Advisory
Nezha、クロスサイトGETでcronコマンド強制実行の脆弱性 CVE-2026-49396
30秒で把握
- 1CVE-2026-49396: NezhaのcronエンドポイントにCSRF保護なしの欠陥
- 2SameSite=Lax Cookie + 状態変更GETで被害者のcronを強制実行可能
- 3コマンド改ざんは不可だが保存済みコマンドのエージェント実行を強制
要約
Nezhaダッシュボードのcron手動実行エンドポイント（GET /api/v1/cron/:id/manual）がCSRFトークンや送信元検証を持たない脆弱性（CVE-2026-49396）が公開された。JWTはSameSite=LaxのCookieで送信されるため、ブラウザはトップレベルのクロスサイトGETナビゲーションにも自動で付与する。攻撃者はログイン中の被害者をこのURLへ誘導するだけで、被害者が保存済みのcronタスクを強制実行させられる。
あなたへの影響
Nezhaダッシュボードを自社インフラで運用しているチームは、外部からのGETリクエストでcronが発火しないようOriginヘッダ検証またはCSRFトークン実装のパッチ適用を確認のうえ更新を推奨。
推奨：緊急度は高くないが放置するとエージェント側の意図しないコマンド実行につながり得る。