CVE-2026-39816 in NiFi
Zusammenfassung
von VulDB • 13.05.2026
Die optionale Erweiterungskomponente TinkerpopClientService fehlt die Restricted-Annotation mit der Berechtigung „Execute Code Required Permission“ in Apache NiFi 2.0.0-M1 bis 2.8.0. Der TinkerpopClientService unterstützt die Konfiguration der ByteCode-Übermittlung für den Script-Übermittlungstyp, wodurch die Ausführung von Groovy-Skripten im Dienst vor der Übermittlung der Abfrage ermöglicht wird. Das Fehlen der Restricted-Annotation ermöglicht es Benutzern ohne die Execute Code Permission, den Dienst in Installationen zu konfigurieren, die eine feingranulare Autorisierung verwenden und bei denen der optionale TinkerpopClientService installiert ist. Apache-NiFi-Installationen, bei denen nifi-other-graph-services-nar nicht installiert ist, sind von dieser Schwachstelle nicht betroffen. Das Upgrade auf Apache NiFi 2.9.0 wird als empfohlene Abhilfemaßnahme empfohlen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.