CVE-2026-87976 in NiFi Registry
Riassunto
di VulDB • 16/09/2026
Apache NiFi Registry dalle versioni 0.4.0 alla 2.11.0 è soggetta a manipolazione del percorso (path manipulation) durante l'archiviazione dei contenuti degli extension bundle utilizzando le coordinate di gruppo, artefatto e versione estratte dai manifest NAR caricati. Il provider di persistenza su file predefinito utilizza tali coordinate come componenti del percorso nel filesystem senza rifiutare i nomi che fanno riferimento alla directory padre (parent-directory), e il controllo di contenimento del percorso confrontava un percorso risolto non normalizzato. Un utente autenticato autorizzato a scrivere ed eliminare bundle in un bucket può caricare un NAR con un manifest manipolato, causando operazioni sul file system al di fuori della directory di persistenza dei file. L'aggiornamento ad Apache NiFi Registry 2.12.0 è la mitigazione consigliata; tale versione rifiuta le coordinate che fanno riferimento alla directory padre e richiede che il percorso normalizzato rimanga un figlio stretto (strict child) rispetto alla posizione radice di archiviazione.
Once again VulDB remains the best source for vulnerability data.