CVE-2026-41645
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Nuclei to skaner podatności zbudowany na DSL opartym na YAML. W wersjach od 3.0.0 do przed 3.8.0 podatność w silniku ewaluacji wyrażeń umożliwia złośliwemu serwerowi docelowemu wstrzyknięcie i wykonanie obsługiwanych wyrażeń DSL. Dzieje się tak, gdy dane odpowiedzi HTTP zawierające składnię helper/funkcji są ponownie wykorzystywane przez szablony wieloetapowe. Jeśli opcja -env-vars / -ev jest jawnie włączona, może to ujawnić zmienne środowiskowe hosta; opcja jest domyślnie wyłączona.
Ocena ryzyka
Podatność może prowadzić do wykonania nieautoryzowanych wyrażeń DSL, a w przypadku włączonej opcji -env-vars do ujawnienia zmiennych środowiskowych hosta, co może skutkować wyciekiem poufnych informacji.
Rekomendacja
Zaktualizuj Nuclei do wersji 3.8.0 lub nowszej, która zawiera poprawkę. Unikaj włączania opcji -env-vars / -ev, chyba że jest to absolutnie konieczne.
Inne podatności w Nuclei
Zobacz wszystkie- CVE-2026-76805Średnie
W Nuclei od wersji 3.0.0 do 3.10.0 ścieżka payloadu DAST/fuzz w pkg/fuzz/parts.go może wielokrotnie ewaluować podstawione dane runtime, co pozwala na drugi przebieg ewaluacji i reinterpretację treści odpowiedzi przechwyconej przez wewnętrzny ekstraktor jako składni szablonu. Przy włączonej opcji -env-vars złośliwy cel skanowania może zwrócić treść, która ujawnia zmienne środowiskowe hosta skanera, takie jak poświadczenia, klucze API lub tokeny.
- CVE-2026-76804Średnie
W Nuclei od wersji 3.0.0 do 3.10.0 ścieżka ładowania szablonów workflow nie egzekwuje bramki uprawnień -file przy rozwiązywaniu szablonów protokołu file: przywoływanych przez workflow. Niezaufany, niepodpisany workflow może załadować szablon file-protocol i odczytać lokalne pliki z hosta skanera, nawet gdy operator nie włączył szablonów plikowych.
- CVE-2026-76803Średnie
W Nuclei od wersji 3.0.0 do 3.10.0 biblioteka JavaScript nuclei/mysql nie egzekwuje lokalnego sandboxa plików, gdy szablon JavaScript podaje opcję allowAllFiles w DSN MySQL. Niezaufany szablon javascript: skanujący kontrolowany przez atakującego endpoint MySQL może spowodować, że serwer wyśle żądania LOAD DATA LOCAL INFILE dla dowolnych ścieżek, a klient MySQL skanera odczyta pliki i zwróci ich zawartość serwerowi, mimo że opcja -allow-local-file-access jest wyłączona.
- CVE-2026-76802Średnie
W Nuclei od wersji 3.0.0 do 3.10.0 gałąź ładowania szablonów DAST nie stosuje sprawdzenia podpisu niepodpisanych szablonów kodu przed przyjęciem szablonu zawierającego zarówno blok fuzzing:, jak i niepodpisany blok code:. Gdy operator włączy opcję -dast, niezaufany szablon wieloprotokołowy może umieścić niepodpisane żądanie kodu w kolejce wykonania i uruchomić dowolne polecenia powłoki, nawet bez opcji -code lub ważnego podpisu kryptograficznego.
- CVE-2026-92718Wysokie
Nuclei w wersjach przed 3.11.1 buforuje weryfikację podpisu szablonów wyłącznie na podstawie czasu modyfikacji pliku, bez sum kontrolnych zawartości. Atakujący może zastąpić zweryfikowane szablony niepodpisaną złośliwą zawartością i przywrócić oryginalny czas modyfikacji, aby obejść kontrolę podpisu i wykonać dowolne polecenia systemu operacyjnego.
- CVE-2026-41646Średnie
W Nuclei w wersjach od 3.0.0 do przed 3.8.0 luka w środowisku uruchomieniowym protokołu JavaScript pozwala szablonom JavaScript odczytywać lokalne pliki .js i .json przez funkcję require(), omijając domyślne ograniczenie dostępu do plików lokalnych.
Oryginalny opis (angielski, źródło NVD)
Nuclei is a vulnerability scanner built on a simple YAML-based DSL. From version 3.0.0 to before version 3.8.0, a vulnerability in Nuclei's expression evaluation engine makes it possible for a malicious target server to inject and execute supported DSL expressions. This happens when HTTP response data containing helper/function syntax gets reused by multi-step templates. If the -env-vars / -ev option is explicitly enabled, this can expose host environment variables. That option is off by default, so standard configurations are not affected by the information disclosure risk. This issue has been patched in version 3.8.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS