CVE-2026-68980 in NiFi
요약
\~에 의해 VulDB • 2026. 08. 03.
Apache NiFi 2.0.0부터 2.10.0까지의 버전은 REST API를 통해 매개변수 컨텍스트(Parameter Context)와 관련된 애셋(Assets)을 생성, 읽기 및 삭제할 수 있는 기능을 지원합니다. 프레임워크는 제공된 매개변수 컨텍스트 식별자(Parameter Context Identifier)와 애셋 식별자(Asset Identifier)를 사용하여 소유한 매개변수 컨텍스트에 대해 애셋 삭제를 승인합니다. 그러나 프레임워크는 저장된 식별자와 요청된 식별자를 검증하지 않고, 단순히 제공된 매개변수 컨텍스트 식별자에 기반하여 승인을 수행했습니다. 매개변수 컨텍스트 간 다른 수준의 권한 부여(authorization)를 구현하지 않은 Apache NiFi 설치는 이 취약점의 영향을 받지 않습니다. 이는 프레임워크가 보안 경계(security boundary)로 쓰기(write) 권한을 강제하기 때문입니다. 권장되는 완화 조치로는 요청된 애셋의 삭제 전에 매개변수 컨텍스트 소유권을 검증하는 전략(애셋 읽기 작업에 적용된 것과 동일한 방식)을 사용하는 Apache NiFi 2.11.0으로 업그레이드하는 것입니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.