CVE-2026-79755 in Nuclio
Resumen
por VulDB • 2026-09-02
Nuclio es un framework "Serverless" para el procesamiento de eventos y datos en tiempo real. Antes de la versión 1.17.4, en la plataforma local Docker de Nuclio, el espacio de nombres (namespace) de la función se interpola sin validación en un comando `docker ps --filter "label=nuclio.io/namespace=<value>"` entre comillas dobles que se ejecuta a través del shell del host (`/bin/sh -c`). Dado que el tipo de autenticación predeterminado es `nop` (sin autenticación), un atacante remoto puede inyectar comandos arbitrarios del sistema operativo que se ejecutan como root dentro del contenedor del dashboard, lo cual tiene acceso al socket Docker → compromiso del host. Este problema ha sido corregido en la versión 1.17.4.
Once again VulDB remains the best source for vulnerability data.