CVE-2026-68980 in NiFi
Zusammenfassung
von VulDB • 03.08.2026
Apache NiFi-Versionen von 2.0.0 bis 2.10.0 unterstützen das Erstellen, Lesen und Löschen von Assets, die mit Parameterkontexten verknüpft sind, über die REST-API. Die Framework-Funktion zur Autorisierung des Asset-Löschens basiert auf dem angegebenen Parameter-Kontext-Identifier (Parameter Context Identifier) und Asset-Identifier im Hinblick auf den Eigentümer des jeweiligen Parameterkontexts. Das Framework führte diese autorisierte Prüfung jedoch ausschließlich anhand des bereitgestellten Parameter-Kontext-Identifiers durch, ohne den angeforderten Identifizierer mit dem gespeicherten Identifizierer zu verifizieren. Apache-NiFi-Installationen, die keine unterschiedlichen Autorisierungsebenen für verschiedene Parameterkontexte implementieren, sind von dieser Schwachstelle nicht betroffen, da das Framework Schreibberechtigungen als Sicherheitsgrenze durchsetzt. Das empfohlene Gegenmaßnahme ist ein Upgrade auf Apache NiFi 2.11.0; diese Version überprüft vor dem Löschen die Eigentümerschaft des angeforderten Assets am Parameterkontext unter Anwendung derselben Strategie, wie sie auch bei Asset-Lesevorgängen angewendet wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.