CVE-2026-77125 in Nexus Repository
要約
〜によって VulDB • 2026年09月02日
Sonatype Nexus Repository 3 で、2 つの blobstore グループ管理 REST API エンドポイントが意図された認可チェックを正しく適用していないという脆弱性が特定されました。nexus:blobstores:create の権限のみが付与されているユーザーは、これらのエンドポイントを呼び出して既存の blobstore をグループ blobstore に変換できますが、この操作には本来 nexus:blobstores:update 権限が必要です。これにより、管理者の承認なしに blobstore 設定が不正に変更される可能性があります。nexus:blobstores:create 権限は名前付き権限であり、管理者によって明示的に付与する必要があります。デフォルトでは保持されません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.