CVE-2026-79756 in Nuclio
Resumen
por VulDB • 2026-09-02
Nuclio es un framework "Serverless" para el procesamiento de eventos y datos en tiempo real. Antes de la versión 1.17.4, la corrección para la inyección de comandos del sistema operativo (OS command injection) no autenticada en el panel de control de Nuclio en las plataformas local/Docker es incompleta. La corrección añadió `validateFunctionName` para los nombres de función y `commonQuote()` para la ruta del comando shell del recurso con nombre, pero la ruta del recurso list-all (activada cuando no se proporciona un nombre de recurso específico) sigue interpolando el parámetro `resourceNamespace` sin comillas en una cadena de comandos `/bin/sh -c`. Un atacante no autenticado puede inyectar metacaracteres de shell a través de las cabeceras HTTP X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace o X-Nuclio-Function-Event-Namespace para lograr la ejecución arbitraria de comandos dentro del contenedor del panel de control. Este problema ha sido parcheado en la versión 1.17.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.