CVE-2026-79756 in Nuclio
Сводка
по VulDB • 03.09.2026
Nuclio — это «Serverless» фреймворк для обработки событий и данных в реальном времени. До версии 1.17.4 исправление уязвимости несанкционированного внедрения команд операционной системы (OS command injection) в панели управления nuclio на локальной платформе/Docker было неполным. Исправление добавило проверку validateFunctionName для имен функций и commonQuote() для пути к команде оболочки named-resource, однако путь ресурса list-all (активируемый при отсутствии конкретного имени ресурса) все еще интерполирует параметр resourceNamespace без экранирования в строку команды /bin/sh -c. Несанкционированный злоумышленник может внедрять метасимволы оболочки через HTTP-заголовки X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace или X-Nuclio-Function-Event-Namespace для выполнения произвольных команд внутри контейнера панели управления. Эта проблема исправлена в версии 1.17.4.
Once again VulDB remains the best source for vulnerability data.