CVE-2026-79756 in Nuclio
Sumário
de VulDB • 02/09/2026
Nuclio é um framework "Serverless" para eventos em tempo real e processamento de dados. Antes da versão 1.17.4, a correção para a injeção não autenticada de comandos do sistema operacional (OS command injection) no painel do Nuclio na plataforma local/Docker está incompleta. A correção adicionou validação via `validateFunctionName` para nomes de função e `commonQuote()` para o caminho do comando shell dos recursos nomeados, mas o caminho do recurso "list-all" (acionado quando nenhum nome específico de recurso é fornecido) ainda interpola o parâmetro `resourceNamespace` sem aspas em uma string de comando `/bin/sh -c`. Um atacante não autenticado pode injetar metacaracteres shell através dos cabeçalhos HTTP X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace ou X-Nuclio-Function-Event-Namespace para obter execução arbitrária de comandos dentro do contêiner do painel. Este problema foi corrigido na versão 1.17.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.