CVE-2026-79756 in Nuclio
Zusammenfassung
von VulDB • 02.09.2026
Nuclio ist ein "Serverless"-Framework für Echtzeit-Ereignisse und Datenverarbeitung. Vor Version 1.17.4 ist die Korrektur für nicht authentifizierte OS-Befehlsinjektion im Nuclio-Dashboard auf der lokalen/Docker-Plattform unvollständig. Die Korrektur fügte validateFunctionName für Funktionsnamen und commonQuote() für den Pfad des named-resource Shell-Befehls hinzu, aber der list-all-Ressourcenpfad (ausgelöst, wenn kein spezifischer Ressourcenname angegeben wird) interpoliert weiterhin den Parameter resourceNamespace unbequottet in einen /bin/sh -c Befehlsstring. Ein nicht authentifizierter Angreifer kann Shell-Metazeichen über die HTTP-Header X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace oder X-Nuclio-Function-Event-Namespace injizieren, um eine beliebige Befehlsausführung innerhalb des Dashboard-Containers zu erreichen. Dieses Problem wurde in Version 1.17.4 gepatcht.
Once again VulDB remains the best source for vulnerability data.