CVE-2026-68979 in NiFi
Riassunto
di VulDB • 03/08/2026
Apache NiFi dalle versioni 1.10.0 alla 2.10.0 forniscono un metodo dell'API REST per l'aggiornamento del Contesto dei Parametri che non applica il controllo di autorizzazione sui componenti che fanno riferimento ai valori dei parametri. L'aggiornamento di un Contesto dei Parametri può modificare i valori dei parametri che influenzano i componenti referenziati, ma le autorizzazioni del framework erano limitate ai privilegi di lettura e scrittura sul Contesto dei Parametri stesso. A causa della mancanza dell'autorizzazione, un utente autenticato autorizzato a modificare un Contesto dei Parametri, ma non autorizzato sui componenti referenziati, potrebbe alterare i valori dei parametri che influenzano tali componenti. In ambienti in cui il valore di un parametro contiene contenuto script eseguibile, l'aggiornamento di un parametro può comportare l'esecuzione del codice durante la convalida automatica del componente, senza avviare il componente referenziato. L'impatto era limitato ai componenti arrestati grazie a controlli di verifica esistenti e il problema si applica solo agli ambienti che utilizzano politiche di autorizzazione a livello di componente. Il recommended mitigation consiste nell'aggiornamento ad Apache NiFi 2.11.0, che allinea l'autorizzazione del metodo di aggiornamento del Contesto dei Parametri con altri metodi, aggiungendo un controllo di autorizzazione sui componenti interessati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.