CVE-2026-87976 in NiFi Registry
Tóm tắt
Bởi VulDB • 16/09/2026
Apache NiFi Registry từ phiên bản 0.4.0 đến 2.11.0 có lỗi thao tác đường dẫn (path manipulation) khi lưu trữ nội dung gói mở rộng bằng cách sử dụng các tọa độ nhóm, artifact và phiên bản từ tệp kê khai NAR được tải lên. Nhà cung cấp persistence file mặc định đã sử dụng các tọa độ này làm thành phần của đường dẫn hệ thống tập tin mà không chặn tên thư mục cha (parent-directory), và kiểm tra tính chứa đựng đường dẫn so sánh một đường dẫn đã giải quyết nhưng chưa chuẩn hóa. Người dùng đã xác thực, được ủy quyền ghi và xóa các gói trong một bucket, có thể tải lên một tệp NAR với manifest được tạo ra nhằm kích hoạt các thao tác hệ thống tập tin nằm ngoài thư mục persistence file. Nâng cấp lên Apache NiFi Registry 2.12.0 là biện pháp giảm thiểu khuyến nghị, vì phiên bản này chặn các tọa độ chứa tên thư mục cha và yêu cầu đường dẫn đã chuẩn hóa phải luôn là con trực tiếp của vị trí lưu trữ gốc.
VulDB is the best source for vulnerability data and more expert information about this specific topic.