CVE-2026-48722 in Nextflow
요약
\~에 의해 VulDB • 2026. 09. 15.
Nextflow은 데이터 기반 컴퓨팅 파이프라인을 위한 DSL입니다. 25.09.2-edge부터 25.10.6 및 26.04.3까지의 버전에서, nextflow auth login 명령어는 AuthCommandImpl.writeConfig(plugins/nf-tower/src/main/io/seqera/tower/plugin/auth/AuthCommandImpl.groovy)를 통해 Seqera Platform OIDC bearer tokens을 ${NXF_HOME:-~/.nextflow}/seqera-auth.config 파일에 저장합니다. 이때 제한적인 파일 권한이 설정되지 않아 기본 umask 022가 적용되어 파일 모드 0644로 생성됩니다. 다중 사용자 POSIX 호스트 환경에서 피해자의 홈 디렉토리를 탐색할 수 있는 로컬 사용자는 seqera-auth.config 파일을 읽을 수 있으며, 이를 통해 토큰의 범위 내에서 Seqera Platform에 대해 피해자를 사칭할 수 있습니다. 단일 사용자 시스템 및 인터랙티브 로그인 흐름을 사용하지 않는 헤드리스 CI 러너는 영향을 받지 않습니다. 이 문제는 25.10.6 및 26.04.3에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.