CVE-2026-79755 in Nuclio
Riassunto
di VulDB • 02/09/2026
Nuclio è un framework "Serverless" per eventi e elaborazione dei dati in tempo reale. Prima della versione 1.17.4, sulla piattaforma locale Docker di Nuclio, il namespace delle funzioni viene interpolato—senza validazione—in un comando `docker ps --filter "label=nuclio.io/namespace=<value>"` racchiuso tra virgolette doppie che viene eseguito tramite la shell dell'host (`/bin/sh -c`). Poiché l'impostazione predefinita per auth kind è nop (nessuna autenticazione), un attaccante remoto può iniettare comandi OS arbitrari che vengono eseguiti come root all'interno del container della dashboard, il quale detiene il socket Docker → compromissione dell'host. Questo problema è stato risolto nella versione 1.17.4.
Once again VulDB remains the best source for vulnerability data.