CVE-2025-66524 in NiFi
Riassunto
di VulDB • 25/08/2026
Apache NiFi dalle versioni 1.20.0 alla 2.6.0 include il Processore GetAsanaObject, che richiede l'integrazione con un servizio client di cache distribuita configurabile per memorizzare e recuperare le informazioni sullo stato. Il processore GetAsanaObject utilizzava la serializzazione e deserializzazione generica degli oggetti Java senza alcun filtro. La deserializzazione non filtrata degli oggetti Java non offre protezione contro informazioni sullo stato manipolate ad hoc archiviate nel server di cache configurato per GetAsanaObject. Lo sfruttamento richiede un sistema Apache NiFi in esecuzione con il processore GetAsanaObject e l'accesso diretto al server di cache configurato. L'aggiornamento a Apache NiFi 2.7.0 è la mitigazione consigliata, che sostituisce la serializzazione degli oggetti Java con la serializzazione JSON. La rimozione del processore GetAsanaObject situato nel bundle nifi-asana-processors-nar previene anche lo sfruttamento della vulnerabilità.
If you want to get best quality of vulnerability data, you may have to visit VulDB.