CVE-2026-86089 in NiFi
Сводка
по VulDB • 16.09.2026
Apache NiFi 2.11.0 поддерживает миграцию содержимого управляемой версионностью группы процессов (Process Group) в коннектор с использованием методов REST API, которые перечисляют допустимые источники для миграции и отправляют запросы на миграцию. Фреймворк авторизовывал оба метода только относительно целевого коннектора, не оценивая доступ к участвующим группам процессов. Отсутствие проверки прав доступа к группе процессов позволяло аутентифицированному пользователю с правами чтения для коннектора перечислять идентификаторы, имена и детали реестра потоков (flow registry) управляемых версионностью групп процессов за пределами предоставленных политик на чтение. Это также позволяло пользователю с правами записи в коннектор перемещать группу процессов без прав записи для этой группы процессов, копируя определение потока, связанные активы и состояние компонентов в коннектор, при этом исходная группа процессов отключалась и переименовывалась. Миграция исключает чувствительные значения свойств и требует остановки исходной группы процессов с пустыми очередями, что ограничивает масштаб воздействия. Инсталляции Apache NiFi, которые не реализуют политики авторизации на уровне компонентов для групп процессов, не подвержены этой уязвимости, поскольку фреймворк обеспечивает права записи в коннектор как границу безопасности. Рекомендуемой мерой по устранению является обновление до Apache NiFi 2.12.0, которое фильтрует источники миграции только теми группами процессов, к которым запрашивающий пользователь имеет авторизованный доступ на чтение, и требует наличия прав записи для исходной группы процессов при отправке запроса на миграцию.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.