CVE-2026-79756
Açıklama
Nuclio, Gerçek Zamanlı Olaylar ve Veri İşleme için bir "Serverless" çerçevesidir. Versiyon 1.17.4 öncesinde, yerel/Docker platformundaki nuclio dashboard üzerinde kimlik doğrulaması gerektirmeyen OS komut enjeksiyonuna yönelik düzeltme eksiktir. Düzeltme ile fonksiyon isimleri için validateFunctionName ve adlandırılmış kaynak kabuk komutu yolu için common.Quote() eklenmiş olsa da, tüm listeleme kaynak yolu (belirli bir kaynak adı sağlanmadığında tetiklenen), resourceNamespace parametresini hala tırnak içine alınmamış şekilde bir /bin/sh -c komut dizisine dahil etmektedir. Kimlik doğrulaması yapmamış bir saldırgan; X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace veya X-Nuclio-Function-Event-Namespace HTTP başlıkları aracılığıyla kabuk meta karakterleri enjekte ederek dashboard konteyneri içinde rastgele komut çalıştırabilir. Bu sorun versiyon 1.17.4 ile yamalanmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nuclio nuclio | < 1.17.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.