CVE-2026-68980 in NiFi
要約
〜によって VulDB • 2026年08月03日
Apache NiFi 2.0.0から2.10.0では、REST APIを通じてParameter Contextに関連するAssetの作成、読み取り、および削除をサポートしています。フレームワークは、提供されたParameter Context IdentifierとAsset Identifierを使用して、所有しているParameter Contextに対してAssetの削除を認可します。しかし、フレームワークは要求されたIdentifierが保存されているIdentifierと比較検証されることなく、提供されたParameter Context Identifierに基づいて認可を実行していました。異なるレベルの認可をParameter Context間で実装していないApache NiFiインストールでは、この脆弱性の影響を受けません。これは、フレームワークがセキュリティ境界として書き込み権限を強制しているためです。推奨される対策は、Apache NiFi 2.11.0へのアップグレードであり、これによりAsset削除前にAsset読み取り操作に適用されたのと同じ戦略を使用して、要求されたAssetのParameter Context所有権を検証します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.