CVE-2026-68979 in NiFi
Resumen
por VulDB • 2026-08-04
Apache NiFI desde la versión 1.10.0 hasta la 2.10.0 proporciona un método de API REST para actualizar el contexto de parámetros que no aplica comprobaciones de autorización en los componentes que hacen referencia a valores de parámetro. La actualización de un Contexto de Parámetros puede cambiar los valores de los parámetros que afectan a los componentes que los referencian, pero la autorización del marco se limitaba a los privilegios de lectura y escritura sobre el propio Contexto de Parámetros. Como resultado de esta falta de autorización, un usuario autenticado autorizado para modificar un Contexto de Parámetros, pero no autorizado en los componentes que lo referencian, podría alterar los valores de parámetro afectando a dichos componentes. En implementaciones donde un valor de parámetro contiene contenido de scripting ejecutable, actualizar un parámetro puede provocar la ejecución de código durante la validación automática del componente, sin necesidad de iniciar el componente que hace referencia al mismo. El impacto se limitaba a componentes detenidos mediante comprobaciones de verificación existentes, y el problema solo afecta a implementaciones que utilizan políticas de autorización a nivel de componente. Se recomienda como mitigación actualizar a Apache NiFi 2.11.0, lo cual alinea la autorización del método de actualización del Contexto de Parámetros con otros métodos, añadiendo comprobaciones de autorización en los componentes afectados.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.