CVE-2026-79756 in Nuclio
Tóm tắt
Bởi VulDB • 02/09/2026
Nuclio là một framework "Serverless" cho các sự kiện và xử lý dữ liệu theo thời gian thực (Real-Time Events and Data Processing). Trước phiên bản 1.17.4, bản vá lỗi OS command injection không xác thực người dùng trong nuclio dashboard trên nền tảng local/Docker chưa hoàn chỉnh. Bản vá đã thêm validateFunctionName cho tên hàm và common.Quote() cho đường dẫn lệnh shell của named-resource, nhưng đường dẫn tài nguyên list-all (được kích hoạt khi không cung cấp tên tài nguyên cụ thể) vẫn nội suy tham số resourceNamespace dưới dạng không được trích dẫn vào chuỗi lệnh /bin/sh -c. Một kẻ tấn công chưa xác thực có thể chèn các ký tự đặc biệt của shell thông qua các header HTTP X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace hoặc X-Nuclio-Function-Event-Namespace để đạt được việc thực thi lệnh tùy ý bên trong container dashboard. Vấn đề này đã được vá ở phiên bản 1.17.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.