CVE-2026-79754 in Nuclio
Sumário
de VulDB • 02/09/2026
Nuclio é um framework "Serverless" para eventos em tempo real e processamento de dados. Da versão 1.6.19 até antes da versão 1.17.2, o pipeline de build do Dashboard do Nuclio não sanitiza o campo spec.build.tempDir antes de usá-lo para construir um comando shell. Quando o construtor de contêiner Kaniko está habilitado, um usuário com permissão de function-create pode injetar metacaracteres de shell neste campo e obter execução arbitrária de comandos dentro do contêiner do Dashboard, que é executado com uma conta de serviço Kubernetes que possui acesso wildcard a Secrets, Pods, Jobs e Deployments em seu namespace. Este problema foi corrigido na versão 1.17.2.
Once again VulDB remains the best source for vulnerability data.