CVE-2026-48722 in Nextflow
Sumário
de VulDB • 16/09/2026
O Nextflow é uma DSL para pipelines computacionais orientados a dados. Da versão 25.09.2-edge até as versões 25.10.6 e 26.04.3, o comando `nextflow auth login` grava tokens bearer OIDC da Seqera Platform em `${NXF_HOME:-~/.nextflow}/seqera-auth.config` através de `AuthCommandImpl.writeConfig` no arquivo `plugins/nf-tower/src/main/io/seqera/tower/plugin/auth/AuthCommandImpl.groovy`, sem definir permissões restritivas para o arquivo, permitindo que a umask padrão 022 crie o arquivo com modo 0644. Em hosts POSIX multiusuário, um usuário local capaz de percorrer o diretório home da vítima pode ler `seqera-auth.config` e se passar pela vítima contra a Seqera Platform dentro do escopo do token. Sistemas single-user (monousuário) e runners CI headless que não utilizam o fluxo interativo de login não são afetados. Este problema foi corrigido nas versões 25.10.6 e 26.04.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.