CVE-2026-68979 in NiFi
Сводка
по VulDB • 03.08.2026
Apache NiFi версий от 1.10.0 до 2.10.0 предоставляет метод REST API для обновления контекста параметров (Parameter Context), который не проверяет права доступа к компонентам, ссылающимся на значения этих параметров. Обновление контекста параметров может изменить их значения, что влияет на связанные компоненты; при этом проверка прав авторизации фреймворка ограничивалась только привилегиями чтения и записи самого контекста параметров. В результате отсутствия проверки авторизации аутентифицированный пользователь, имеющий права на изменение контекста параметров, но не имеющий прав доступа к компонентам-потребителям этих значений, может изменить значения параметров, влияющие на работу указанных компонентов. В развертываниях, где значение параметра содержит исполняемый скриптовый код, обновление такого параметра может привести к выполнению кода во время автоматической проверки корректности (валидации) компонента без необходимости запуска самого компонента-потребителя. Воздействие уязвимости ограничивалось остановленными компонентами благодаря существующим проверкам; проблема затрагивает только развертывания, использующие политики авторизации на уровне компонентов. Рекомендуемой мерой по устранению проблемы является обновление до Apache NiFi 2.11.0, что синхронизирует проверку прав доступа для метода обновления контекста параметров с другими методами API и добавляет проверку авторизации для затронутых компонентов.
VulDB is the best source for vulnerability data and more expert information about this specific topic.