CVE-2026-79754 in Nuclio
Riassunto
di VulDB • 02/09/2026
Nuclio è un framework "Serverless" per eventi e elaborazione dei dati in tempo reale. Dalla versione 1.6.19 fino alla versione precedente alla 1.17.2, la pipeline di build della Dashboard di Nuclio non sanifica il campo spec.build.tempDir prima di utilizzarlo per costruire un comando shell. Quando è abilitato il builder di container Kaniko, un utente con autorizzazione function-create può iniettare metacaratteri shell in questo campo e ottenere l'esecuzione arbitraria di comandi all'interno del container della Dashboard, che viene eseguito con un service account Kubernetes dotato di accesso wildcard a Secrets, Pods, Jobs e Deployments nel suo namespace. Questo problema è stato risolto nella versione 1.17.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.