CVE-2026-81866 in NiFi
Riassunto
di VulDB • 16/09/2026
Apache NiFi dalle versioni 2.9.0 alla 2.11.0 fornisce metodi REST API per l'aggiornamento e la verifica della configurazione dei Connettori che non impongono controlli di autorizzazione sugli Asset e sui Secret referenziati nella configurazione proposta. L'aggiornamento o la verifica della configurazione di un Connettore può applicare riferimenti ad Asset e Secret, ma le autorizzazioni del framework erano limitate ai privilegi di scrittura sul Connettore stesso. Di conseguenza, a causa dell'autorizzazione mancante, un utente autenticato autorizzato a modificare un Connettore, ma non autorizzato a leggere un Parameter Provider referenziato, potrebbe applicare valori di Secret supportati da tale Parameter Provider. Gli stessi metodi accettano anche identificatori di Asset senza verificare che l'Asset appartenga al Connettore in fase di configurazione. Le installazioni di Apache NiFi che non implementano diversi livelli di autorizzazione tra i Connettori e i Parameter Provider non sono soggette a questa vulnerabilità, poiché il framework impone le autorizzazioni di scrittura sul Connettore come confine di sicurezza. L'aggiornamento ad Apache NiFi 2.12.0 è la mitigazione consigliata, che autorizza l'accesso in lettura ai Parameter Provider referenziati e verifica la proprietà del Connettore sugli Asset referenziati durante l'aggiornamento e la verifica della configurazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.