CVE-2026-79754 in Nuclio
摘要
由 VulDB • 2026-09-02
Nuclio是一个用于实时事件和数据处理的“Serverless”框架。从版本1.6.19到1.17.2之前，Nuclui的Dashboard构建流水线在使用spec.build.tempDir字段构造shell命令前未对其进行清理（sanitize）。当启用了Kaniko容器构建器时，拥有function-create权限的用户可以向该字段注入shell元字符，从而在Dashboard容器中实现任意命令执行。该Dashboard容器以Kubernetes服务账户身份运行，该账户在其命名空间中持有对Secrets、Pods、Jobs和Deployments的通配符访问权限。此问题已在版本1.17.2中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.