CVE-2026-81866

Apache NiFi 2.9.0-dan 2.11.0-a qədər olan versiyalarda Connector konfiqurasiyasının yenilənməsi və yoxlanılması üçün nəzərdə tutulmuş REST API metodları təklif olunan konfiqurasiyada istinad edilən Assets və Secrets üzərində avtorizasiya yoxlamasını həyata keçirmir. Connector konfiqurasiyası addımının yenilənməsi və ya yoxlanılması Asset və Secret istinadlarını tətbiq edə bilər, lakin freymvork avtorizasiyası yalnız Connector-un özü üzərində yazma hüquqları ilə məhdudlaşdırılmışdı. Avtorizasiyanın çatışmazlığı nəticəsində, Connector-u dəyişdirmək səlahiyyəti olan, lakin istinad edilən Parameter Provider-ı oxumaq səlahiyyəti olmayan autentifikasiya olunmuş istifadəçi, həmin Parameter Provider tərəfindən dəstəklənən Secret dəyərlərini tətbiq edə bilirdi. Eyni metodlar həmçinin Asset identifikatorlarını, həmin Asset-in konfiqurasiya edilən Connector-a aid olduğunu yoxlamadan qəbul edirdi. Connector-lar və Parameter Provider-lar arasında fərqli avtorizasiya səviyyələrini tətbiq etməyən Apache NiFi quraşdırmaları bu zəifliyə məruz qalmır, çünki freymvork təhlükəsizlik sərhədi kimi Connector üzərində yazma icazələrini tətbiq edir. Tövsiyə olunan həll yolu Apache NiFi 2.12.0 versiyasına yüksəltməkdir; bu versiya konfiqurasiyanın yenilənməsi və yoxlanılması zamanı istinad edilən Parameter Provider-lara oxuma girişini avtorizasiya edir və istinad edilən Asset-lərin Connector mülkiyyətini yoxlayır.