CVE-2026-48722 in Nextflow
الملخص
بحسب VulDB • 15/09/2026
Nextflow هو لغة وصفية مخصصة (DSL) لخطوط الأنابيب الحسابية القائمة على البيانات. من الإصدار 25.09.2-edge حتى 25.10.6 و26.04.3، تقوم عملية `nextflow auth login` بكتابة رموز حامل OIDC لمنصة Seqera إلى الملف `${NXF_HOME:-~/.nextflow}/seqera-auth.config` عبر الدالة `AuthCommandImpl.writeConfig` الموجودة في المسار `plugins/nf-tower/src/main/io/seqera/tower/plugin/auth/AuthCommandImpl.groovy` دون تعيين أذونات ملف تقييدية، مما يسمح لـ umask الافتراضي (022) بإنشاء الملف بوضع 0644. على نظام POSIX متعدد المستخدمين، يمكن لمستخدم محلي قادر على استكشاف دليل المستخدم الضحية قراءة ملف `seqera-auth.config` والتظاهر باسمه ضد منصة Seqera ضمن نطاق الرمز المميز. لا تتأثر الأنظمة ذات المستخدم الواحد ومشغلات CI الخالية من الواجهة (headless) التي لا تستخدم تدفق تسجيل الدخول التفاعلي. تم إصلاح هذه المشكلة في الإصدارين 25.10.6 و26.04.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.