CVE-2026-17598
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Sonatype Nexus Repository 3 nie filtrował odpowiednio wewnętrznych kluczy konfiguracyjnych z właściwości zadań dostarczanych przez użytkownika podczas tworzenia lub aktualizacji zaplanowanego zadania przez interfejs administracyjny. Konto z uprawnieniem do tworzenia co najmniej jednego typu zadania mogło dostarczyć spreparowaną wartość, która spowodowała nadpisanie konfiguracji niezwiązanego, istniejącego zadania zamiast utworzenia nowego.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania konfiguracji istniejących zadań przez nieautoryzowanego użytkownika, co może prowadzić do zakłócenia działania systemu lub niepożądanych zmian w harmonogramach. Może to również umożliwić eskalację uprawnień.
Rekomendacja
Zaleca się aktualizację Nexus Repository 3 do wersji z poprawką oraz ograniczenie uprawnień do tworzenia zadań tylko dla zaufanych użytkowników. Należy również regularnie audytować konfiguracje zadań.
Oryginalny opis (angielski, źródło NVD)
Sonatype Nexus Repository 3 did not properly filter internal configuration keys from user-supplied task properties when creating or updating a scheduled task through the administrative UI. An account holding permission to create at least one scheduled task type could supply a crafted property value that caused the system to overwrite the configuration of an unrelated, existing task instead of creating a new one.