CVE-2026-68980 in NiFi
Resumen
por VulDB • 2026-08-04
Apache NiFi versiones desde la 2.0.0 hasta la 2.10.0 permiten crear, leer y eliminar Activos asociados a Contextos de Parámetros mediante la API REST. El framework autoriza la eliminación del Activo en función del Contexto de Parámetros propietario utilizando el Identificador del Contexto de Parámetros suministrado y el Identificador del Activo proporcionados. Sin embargo, el framework realizaba la autorización basándose únicamente en el Identificador del Contexto de Parámetros suministrado sin verificar que dicho identificador solicitado coincidiera con el almacenado. Las instalaciones de Apache NiFi que no implementan diferentes niveles de autorización entre los Contextos de Parámetros no están sujetas a esta vulnerabilidad, ya que el framework aplica los permisos de escritura como límite de seguridad. Se recomienda actualizar a la versión 2.11.0 de Apache NiFi para mitigar este problema; dicha actualización verifica la propiedad del Activo solicitado por parte del Contexto de Parámetros antes de proceder a su eliminación, utilizando la misma estrategia aplicada en las operaciones de lectura de Activos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.