CVE-2026-44913
Açıklama
Apache NiFi 1.2.0 ile 2.9.0 arasında yer alan CaptureChangeMySQL Processor bileşenindeki veritabanı tablo adlarının uygun şekilde kaçırılmaması (improper escaping), özel olarak hazırlanmış isimlendirmeler kullanılarak SQL komutlarının enjekte edilmesine olanak tanır. Apache NiFi 1.8.0 sürümünde eklenen manuel tırnaklı sınırlar, potansiyel enjeksiyon seçeneklerinin kapsamını daraltmıştır ancak ek stratejileri kapsamamıştır. CaptureChangeMySQL Processor kullanmayan Apache NiFi kurulumları bu güvenlik açığından etkilenmez. Daha güçlü tanımlayıcı kaçırma yöntemlerini içeren Apache NiFi 2.10.0 sürümüne yükseltme yapılması önerilen çözüm yoludur.
Nasıl düzeltilir
- apache nifi2.10.0 ya da sonraki bir sürüm
- org.apache.nifi:nifi-cdc-mysql-processors2.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache nifi | 1.2.0 ≤ v < 2.10.0 | 2.10.0 |
| org.apache.nifi:nifi-cdc-mysql-processorsMaven | 1.2.0 ≤ v < 2.10.0 | 2.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.