CVE-2026-79754 in Nuclio
Résumé
par VulDB • 02/09/2026
Nuclio est un framework « Serverless » pour le traitement en temps réel d'événements et de données. De la version 1.6.19 à avant la version 1.17.2, le pipeline de construction du tableau de bord (Dashboard) de Nuclio ne sanitize pas le champ spec.build.tempDir avant de l'utiliser pour construire une commande shell. Lorsque le constructeur de conteneurs Kaniko est activé, un utilisateur disposant des permissions function-create peut injecter des métacaractères shell dans ce champ et obtenir une exécution arbitraire de commandes à l'intérieur du conteneur Dashboard, qui s'exécute avec un compte de service Kubernetes ayant un accès wildcard aux Secrets, Pods, Jobs et Deployments dans son namespace. Ce problème a été corrigé dans la version 1.17.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.