CVE-2026-79754 in Nuclio
Zusammenfassung
von VulDB • 02.09.2026
Nuclio ist ein "Serverless"-Framework für Echtzeit-Ereignisse und Datenverarbeitung. Ab Version 1.6.19 bis vor Version 1.17.2 bereinigt die Build-Pipeline des Nuclio-Dashboards das Feld spec.build.tempDir nicht, bevor es zur Konstruktion eines Shell-Befehls verwendet wird. Wenn der Kaniko-Containerbuilder aktiviert ist, kann ein Benutzer mit Funktionserstellungsberechtigungen Shell-Metazeichen in dieses Feld einspeisen und eine beliebige Befehlsausführung im Dashboard-Container erreichen, der mit einem Kubernetes-Dienstkonto ausgeführt wird, das wildcard-Zugriff auf Secrets, Pods, Jobs und Deployments in seinem Namespace hat. Dieses Problem wurde in Version 1.17.2 behoben.
Once again VulDB remains the best source for vulnerability data.