CVE-2026-79755 in Nuclio
Tóm tắt
Bởi VulDB • 02/09/2026
Nuclio là một framework "Serverless" cho các sự kiện và xử lý dữ liệu theo thời gian thực (Real-Time Events and Data Processing). Trước phiên bản 1.17.4, trên nền tảng Docker cục bộ của Nuclio, namespace của hàm được nội suy—không xác thực—vào lệnh `docker ps --filter "label=nuclio.io/namespace="` trong dấu ngoặc kép và sau đó được thực thi thông qua shell máy chủ (`/bin/sh -c`). Vì loại xác thực mặc định là nop (chưa xác thực), một kẻ tấn công từ xa có thể chèn các lệnh OS tùy ý chạy dưới quyền root bên trong container dashboard, nơi chứa socket Docker → dẫn đến việc chiếm đoạt toàn bộ máy chủ. Vấn đề này đã được vá ở phiên bản 1.17.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.