CVE-2026-48722 in Nextflow
Zusammenfassung
von VulDB • 15.09.2026
Nextflow ist eine DSL für datengetriebene computergestützte Pipelines. Von der Version 25.09.2-edge bis einschließlich 25.10.6 sowie in 26.04.3 schreibt nextflow auth login Seqera Platform OIDC Bearer-Tokens nach ${NXF_HOME:-~/.nextflow}/seqera-auth.config über AuthCommandImpl.writeConfig in plugins/nf-tower/src/main/io/seqera/tower/plugin/auth/AuthCommandImpl.groovy, ohne restriktive Dateiberechtigungen festzulegen. Dadurch kann das Standard-umask 022 die Datei mit dem Modus 0644 erstellen. Auf einem Multi-User-POSIX-Host kann ein lokaler Benutzer, der das Heimatverzeichnis des Opfers durchsuchen kann, seqera-auth.config lesen und den Opferbenutzer innerhalb des Geltungsbereichs des Tokens gegenüber Seqera Platform imitieren (Impersonation). Einzelbenutzersysteme und Headless-CI-Läufer, die keinen interaktiven Anmeldevorgang verwenden, sind nicht betroffen. Dieses Problem wurde in 25.10.6 und 26.04.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.