CVE-2026-17593
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Konto posiadające uprawnienie nexus:settings:update w Nexus Repository 3 (lub równoważne uprawnienie nexus:settings w starszym Nexus Repository 2) mogło przesyłać dowolne wartości jako identyfikatory realmów przez wewnętrzne API konfiguracji, które nie walidowało ich względem zestawu zarejestrowanych realmów. Ponieważ nierozpoznane wpisy były utrwalane i ponownie oceniane przy każdym ładowaniu realmów przez starszą ścieżkę kodu, mogło to prowadzić do niezamierzonego wykonania kodu wewnątrz procesu Nexus Repository, a w niektórych przypadkach do trwałego zablokowania uwierzytelniania, które nie było widoczne w interfejsie administracyjnym.
Ocena ryzyka
Udane wykorzystanie może prowadzić do wykonania kodu w procesie Nexus Repository lub do trwałego zablokowania uwierzytelniania, co może zakłócić dostęp do repozytorium. Wymaga posiadania uprawnienia nexus:settings:update, co ogranicza ryzyko, ale jest poważne.
Rekomendacja
Zaleca się aktualizację Nexus Repository do wersji z poprawką. Należy również ograniczyć przyznawanie uprawnień nexus:settings:update tylko zaufanym administratorom.
Inne podatności w Nexus Repository
Zobacz wszystkie- CVE-2026-17603Wysokie
Nexus Repository 3 nie wystarczająco ograniczał, które właściwości puli połączeń HikariCP można ustawić przez API konfiguracji DataStore. Użytkownik z uprawnieniem nx-datastores-update mógł ustawić właściwość connectionInitSql, aby wykonać dowolne SQL na skonfigurowanej bazie danych przy każdym nowym połączeniu. Na domyślnym backendzie H2 może to prowadzić do zdalnego wykonania kodu jako użytkownik procesu Nexus.
- CVE-2026-17601Wysokie
Użytkownik posiadający uprawnienie do aktualizacji definicji uprawnień mógł zmodyfikować uprawnienie wildcard już przypisane do własnej roli, aby przyznać sobie szersze uprawnienia niż był upoważniony, w tym pełny dostęp administracyjny, bez dodatkowej kontroli autoryzacji lub ponownego przypisania roli.
- CVE-2026-17600Wysokie
Sonatype Nexus Repository 3 nie natychmiast kończył aktywnej sesji logowania użytkownika ani nie odwoływał zapisanych uprawnień, gdy konto użytkownika zostało usunięte, dezaktywowane lub zmieniono hasło. Użytkownik, który był już zalogowany w momencie jednej z tych akcji, mógł nadal korzystać z istniejącej sesji do interakcji z repozytorium, jakby konto było nadal aktywne, aż do wygaśnięcia sesji. W zależności od posiadanych uprawnień mogło to pozwolić na dalszy nieautoryzowany dostęp do odczytu, modyfikacji lub usuwania zawartości repozytorium po tym, jak dostęp miał być cofnięty.
- CVE-2026-17599Średnie
Nexus Repository 3 zawiera endpoint używany do zmiany hasła administratora podczas początkowego wdrażania. Endpoint nie weryfikował, czy proces wdrażania nadal trwa, polegając jedynie na obecności lokalnego artefaktu. Konto z uprawnieniem nexus:* mogło wywołać endpoint poza zamierzonym przepływem, aby zmienić hasło administratora, a istniejące sesje nie były unieważniane po zmianie.
- CVE-2026-17598Średnie
Sonatype Nexus Repository 3 nie filtrował odpowiednio wewnętrznych kluczy konfiguracyjnych z właściwości zadań dostarczanych przez użytkownika podczas tworzenia lub aktualizacji zaplanowanego zadania przez interfejs administracyjny. Konto z uprawnieniem do tworzenia co najmniej jednego typu zadania mogło dostarczyć spreparowaną wartość, która spowodowała nadpisanie konfiguracji niezwiązanego, istniejącego zadania zamiast utworzenia nowego.
- CVE-2026-17597Średnie
Nexus Repository 3 zawiera podatność Server-Side Request Forgery (SSRF) w funkcji weryfikacji konfiguracji e-mail. Użytkownik z uprawnieniem nexus:settings:update mógł przesłać dowolne wartości hosta i portu do endpointu testowania/weryfikacji e-mail, powodując próby połączeń wychodzących do wewnętrznych lub ograniczonych adresów sieciowych. Różnice w odpowiedziach serwera mogły być wykorzystane do ustalenia, czy wewnętrzne hosty i porty są osiągalne. Problem dotyczy wersji do 3.94.1 włącznie, naprawiony w 3.95.0.
- CVE-2026-17596Średnie
Nexus Repository 3 jest podatny na przechowywany cross-site scripting (XSS). Użytkownik z uprawnieniem nexus:blobstores:create lub nexus:blobstores:update mógł ustawić nazwę magazynu blob zawierającą złośliwy skrypt, który później wykonywał się w przeglądarce innego użytkownika przeglądającego status kontroli zdrowia systemu. Problem naprawiono w wersji 3.95.0.
- CVE-2026-17595Średnie
Nexus Repository 3 nie w pełni izolował wyrażenia JEXL używane w selektorach treści. Konto z uprawnieniem nexus:selectors:create mogło skonstruować wyrażenie, które odczytywało właściwości obiektów Java nieprzeznaczone do udostępnienia, ujawniając wewnętrzne metadane klasy JVM, takie jak nazwy klas i classloaderów. Problem nie pozwala na wywoływanie metod, tworzenie obiektów ani wykonywanie dowolnego kodu. Naprawiono to przez ograniczenie dostępu do właściwości w sandboxie JEXL do zamierzonych typów danych.
- CVE-2026-17594Wysokie
Nexus Repository 3 CE/Pro wersje 3.0.0 do 3.94.x zawierają podatność nieprawidłowej autoryzacji (CWE-863) w interfejsie użytkownika do tworzenia repozytoriów. Konto użytkownika posiadające delegowane uprawnienie administratora repozytorium ograniczone do określonego formatu repozytorium mogło utworzyć repozytorium o innym, nieautoryzowanym formacie, ponieważ autoryzacja była sprawdzana na podstawie jednego pola żądania, podczas gdy osobne pole kontrolowane przez atakującego określało faktycznie tworzony format repozytorium. Nie dotyczy to użytkownika anonimowego, który domyślnie nie może posiadać tego uprawnienia. Poprawione w wersji 3.95.0.
- CVE-2026-14644Wysokie
Nexus Repository 3 zawierał podatność eskalacji uprawnień w API REST dotyczącym uprawnień. Uwierzytelniony użytkownik z uprawnieniem do zarządzania uprawnieniami mógł, w określonych konfiguracjach ról, eskalować swój własny dostęp do pełnego administratora, wykorzystując wadę polegającą na pomyleniu typów w punkcie końcowym aktualizacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
An account holding the nexus:settings:update permission in Nexus Repository 3 (or the equivalent nexus:settings permission in the legacy Nexus Repository 2) could submit arbitrary values as realm identifiers through an internal configuration API that did not validate them against the set of registered realms. Because unrecognized entries were persisted and re-evaluated on every realm load via a legacy code path, this could result in unintended code executing inside the Nexus Repository process, and in some cases a persistent authentication lockout that was not visible through the administrative UI.