哪吒监控曝严重未授权路径穿越漏洞，一条 GET 请求拿下管理员
哪吒监控（nezha）v2.0.13 以下版本存在一个 CVSS 9.1 的严重漏洞（CVE-2026-53519）：dashboard 的 NoRoute 处理器用 strings.HasPrefix 做前缀匹配，攻击者构造 /dashboard../data/config.yaml 即可绕过鉴权读取配置文件，其中明文存储着 HS256 签名用的 jwt_secret_key，拿到密钥后伪造任意用户的 JWT cookie，整个 dashboard 直接沦陷——全程无需登录，两个 HTTP 请求搞定。目前官方已在 v2.0.13 修复，建议立即升级。
来源：Github
哪吒监控（nezha）v2.0.13 以下版本存在一个 CVSS 9.1 的严重漏洞（CVE-2026-53519）：dashboard 的 NoRoute 处理器用 strings.HasPrefix 做前缀匹配，攻击者构造 /dashboard../data/config.yaml 即可绕过鉴权读取配置文件，其中明文存储着 HS256 签名用的 jwt_secret_key，拿到密钥后伪造任意用户的 JWT cookie，整个 dashboard 直接沦陷——全程无需登录，两个 HTTP 请求搞定。目前官方已在 v2.0.13 修复，建议立即升级。
来源：Github
GitHub
Pre-auth path traversal via /dashboard.. prefix confusion leaks jwt_secret_key
### Summary
`fallbackToFrontend` in the dashboard's `NoRoute` handler treats any URL whose **raw string** starts with `/dashboard` as an admin-frontend asset request. The check uses `strings.H...
`fallbackToFrontend` in the dashboard's `NoRoute` handler treats any URL whose **raw string** starts with `/dashboard` as an admin-frontend asset request. The check uses `strings.H...
