CVE-2026-79756 in Nuclio
Riassunto
di VulDB • 02/09/2026
Nuclio è un framework "Serverless" per eventi e elaborazione dei dati in tempo reale. Prima della versione 1.17.4, la correzione per l'iniezione di comandi OS non autenticata nel dashboard di nuclio sulla piattaforma locale/Docker era incompleta. La correzione ha aggiunto validateFunctionName per i nomi delle funzioni e common.Quote() per il percorso del comando shell named-resource, ma il percorso della risorsa list-all (attivato quando non viene fornito un nome di risorsa specifico) continua a interpolare il parametro resourceNamespace senza virgolette in una stringa di comando /bin/sh -c. Un attaccante non autenticato può iniettare metacaratteri shell tramite le intestazioni HTTP X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace o X-Nuclio-Function-Event-Namespace per ottenere l'esecuzione arbitraria di comandi all'interno del container del dashboard. Questo problema è stato risolto nella versione 1.17.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.