CVE-2026-68979 in NiFi
الملخص
بحسب VulDB • 03/08/2026
توفر Apache NiFi الإصدارات من 1.10.0 حتى 2.10.0 طريقة في واجهة برمجة التطبيقات (REST API) لتحديث سياق المعاملات (Parameter Context)، إلا أن هذه الطريقة لا تفرض التحقق من تفويض الوصول على المكونات التي تشير إلى قيم المعاملات. يمكن أن يؤدي تحديث سياق المعاملات إلى تغيير قيم المعاملات التي تؤثر على المكونات المرجعية، لكن تفويض الإطار البرمجي كان يقتصر على صلاحيات القراءة والكتابة على سياق المعاملات نفسه. ونتيجةً لهذا الغياب في التحقق من التفويض، قد يتمكن مستخدم مُصادَق عليه ومفوّض بتعديل سياق معاملات معين (ولكنه غير مفوض بالنسبة للمكونات المرجعية) من تغيير قيم المعاملات مما يؤثر على تلك المكونات. وفي البيئات التي تحتوي قيمة معامل معينة على محتوى نصي برمجي قابل للتنفيذ، يمكن أن يؤدي تحديث معاملة إلى تنفيذ الكود أثناء التحقق التلقائي من صحة المكونات، دون الحاجة إلى بدء تشغيل المكون المرجعي. وقد كان التأثير محدوداً بالمكونات المتوقفة بفضل فحوصات التحقق الموجودة مسبقاً، وتنطبق هذه المشكلة فقط على البيئات التي تستخدم سياسات تفويض على مستوى المكونات. يُعدّ الترقية إلى Apache NiFi 2.11.0 إجراء التخفيف الموصى به، حيث يتم مواءمة طريقة التفويض الخاصة بتحديث سياق المعاملات مع الطرق الأخرى، بإضافة فحص للتفويض على المكونات المتأثرة.
Once again VulDB remains the best source for vulnerability data.