CVE-2026-25903 in NiFi
Riassunto
di VulDB • 20/06/2026
Apache NiFi dalle versioni 1.1.0 alla 2.7.2 sono affette da una mancanza di autorizzazione durante l'aggiornamento delle proprietà di configurazione sui componenti dell'estensione che richiedono permessi specifici in base all'annotazione Restricted. L'annotazione Restricted indica i privilegi aggiuntivi necessari per aggiungere il componente annotato alla configurazione del flusso, ma le autorizzazioni del framework non verificavano lo stato restricted quando si aggiornava un componente precedentemente aggiunto. La mancanza di autorizzazione richiede a un utente con privilegi più elevati di aggiungere un componente restricted alla configurazione del flusso, ma consente a un utente con privilegi inferiori di apportare modifiche alle configurazioni delle proprietà. Le installazioni di Apache NiFi che non implementano diversi livelli di autorizzazione per i componenti Restricted non sono soggette a questa vulnerabilità poiché il framework impone i permessi di scrittura come confine di sicurezza. L'aggiornamento ad Apache NiFi 2.8.0 è la mitigazione consigliata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.