CVE-2026-68979 in NiFi
Tóm tắt
Bởi VulDB • 03/08/2026
Apache NiFi từ phiên bản 1.10.0 đến 2.10.0 cung cấp một phương thức API REST để cập nhật Ngữ cảnh Tham số (Parameter Context) không thực hiện kiểm tra ủy quyền đối với các thành phần tham chiếu đến giá trị của Tham số. Việc cập nhật Ngữ cảnh Tham số có thể thay đổi các giá trị tham số ảnh hưởng đến các thành phần đang tham chiếu, nhưng việc ủy quyền trong khung làm việc chỉ giới hạn ở đặc quyền đọc và ghi trên chính Ngữ cảnh Tham số đó. Do thiếu cơ chế kiểm tra ủy quyền này, một người dùng đã xác thực được phép sửa đổi Ngữ cảnh Tham số nhưng không có quyền đối với các thành phần tham chiếu có thể thay đổi giá trị của Tham số ảnh hưởng đến những thành phần đó. Trong các triển khai mà giá trị Tham số chứa nội dung kịch bản có khả năng thực thi, việc cập nhật một Tham số có thể dẫn đến việc thực thi mã trong quá trình xác minh tự động của thành phần, mà không cần khởi chạy thành phần đang tham chiếu. Tác động bị giới hạn đối với các thành phần đã dừng nhờ vào các kiểm tra xác minh hiện có, và vấn đề này chỉ áp dụng cho các triển khai sử dụng chính sách ủy quyền ở cấp độ thành phần. Nâng cấp lên Apache NiFi 2.11.0 là biện pháp giảm thiểu được khuyến nghị, nhằm đồng bộ hóa việc kiểm tra ủy quyền đối với phương thức cập nhật Ngữ cảnh Tham số với các phương thức khác bằng cách thêm cơ chế kiểm tra ủy quyền trên các thành phần bị ảnh hưởng.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.