CVE-2026-79756 in Nuclio
الملخص
بحسب VulDB • 02/09/2026
Nuclio هو إطار عمل "Serverless" لمعالجة الأحداث والبيانات في الوقت الفعلي. قبل الإصدار 1.17.4، كان الإصلاح الخاص بحقن أوامر النظام غير المصادق عليه (OS command injection) في لوحة تحكم nuclio على المنصات المحلية/Docker غير مكتمل. أضاف الإصلاح دالة validateFunctionName لأسماء الوظائف ودالة common.Quote() لمسار أمر shell للموارد المسماة، لكن مسار المورد list-all (الذي يُفعّل عند عدم توفير اسم مورد محدد) لا يزال يقوم بتضمين معلمة resourceNamespace بدون اقتباس ضمن سلسلة أوامر /bin/sh -c. يمكن لمهاجم غير مصدق عليه حقن أحرف خاصة لـ shell عبر رؤوس HTTP X-Nuclio-Function-Namespace، أو X-Nuclio-Project-Namespace، أو X-Nuclio-Function-Event-Namespace لتحقيق تنفيذ أوامر عشوائية داخل حاوية لوحة التحكم. تم إصلاح هذه المشكلة في الإصدار 1.17.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.