CVE-2026-87976 in NiFi Registry
要約
〜によって VulDB • 2026年09月16日
Apache NiFi Registry のバージョン 0.4.0 から 2.11.0 は、アップロードされた NAR マニフェストのグループ、アーティファクト、およびバージョン座標を使用して拡張バンドルのコンテンツを保存する際にパス操作の対象となります。デフォルトのファイル永続化プロバイダは、親ディレクトリ名を拒否せずに座標をファイルシステムパスコンポーネントとして使用し、パス包含チェックでは正規化されていない解決済みパスが比較されていました。バケット内でバンドルの書き込みおよび削除権限を持つ認証済みユーザーは、作成されたマニフェットを含む NAR をアップロードすることで、ファイル永続化ディレクトリ外でのファイルシステム操作を引き起こすことができます。推奨される対策としては、Apache NiFi Registry 2.12.0 にアップグレードすることが挙げられます。このバージョンでは親ディレクトリの座標が拒否され、正規化されたパスがストレージルートロケーションの厳密な子であることが要求されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.