CVE-2026-52831
WysokieCVSS 8.0Streszczenie
Nuclio przed wersją 1.16.4 zawiera podatność na wstrzykiwanie poleceń w konstrukcji wywołania curl dla wyzwalaczy cron. Klucze nagłówków event.headers i event.body nie są odpowiednio sanityzowane, co pozwala na wstrzyknięcie niebezpiecznych argumentów do polecenia wykonywanego w kontenerze CronJob.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w kontekście kontenera CronJob, co może prowadzić do naruszenia poufności, integralności i dostępności danych oraz środowiska.
Rekomendacja
Zaktualizuj Nuclio do wersji 1.16.4 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Nuclio
Zobacz wszystkie- CVE-2026-79756Wysokie
Nuclio, framework serverless, przed wersją 1.17.4 ma niekompletną poprawkę dla nieuwierzytelnionego wstrzykiwania komend OS w dashboardzie na platformie lokalnej/Docker. Ścieżka list-all zasobów interpoluje parametr resourceNamespace bez cudzysłowów do komendy /bin/sh -c, co pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie metaznaków przez nagłówki HTTP i wykonanie dowolnych komend w kontenerze dashboardu.
- CVE-2026-79755Wysokie
Nuclio, framework serverless, przed wersją 1.17.4 ma podatność na wstrzykiwanie komend OS w lokalnej platformie Docker. Przestrzeń nazw funkcji jest interpolowana bez walidacji do podwójnie cudzysłowionej komendy docker ps --filter, wykonywanej przez /bin/sh -c. Ponieważ domyślny typ uwierzytelniania to nop (brak uwierzytelniania), zdalny atakujący może wstrzyknąć dowolne komendy OS, które wykonują się jako root w kontenerze dashboardu, który posiada socket Docker, co prowadzi do przejęcia hosta.
- CVE-2026-79754Wysokie
Nuclio, framework serverless, od wersji 1.6.19 do przed 1.17.2 ma podatność w pipeline budowania dashboardu, która nie sanityzuje pola spec.build.tempDir przed użyciem go do konstrukcji komendy powłoki. Gdy włączony jest builder Kaniko, użytkownik z uprawnieniami do tworzenia funkcji może wstrzyknąć metaznaki powłoki i uzyskać wykonanie dowolnych komend w kontenerze dashboardu, który ma konto usługi Kubernetes z dostępem do Secrets, Pods, Jobs i Deployments.
- CVE-2026-52833Wysokie
Nuclio, framework serverless, przed wersją 1.16.5 ma podatność w runtime Java, która generuje plik build.gradle podczas budowania funkcji przy użyciu pakietu text/template Go. Szablon renderuje wartości runtimeAttributes.repositories[] z akcją {{ . }}, która nie wykonuje escapowania. Atakujący może osadzić zamykający nawias klamrowy, aby wyrwać się z bloku repositories i dodać dowolne instrukcje Groovy, które wykonują się bezwarunkowo podczas fazy konfiguracji Gradle.
- CVE-2026-52832Średnie
Nuclio to framework "Serverless" do przetwarzania zdarzeń w czasie rzeczywistym i danych. Przed wersją 1.16.5, Nuclio Dashboard udostępnia POST /api/functions bez uwierzytelniania domyślnie (tryb NOP auth). Pole spec.handler (np. mymodule:myfunction) jest parsowane przez funkcję functionconfig.ParseHandler(), która dzieli tylko na : — nie jest stosowana walidacja ścieżki dla części modułu. Problem naprawiono w wersji 1.16.5.
- CVE-2026-45730Wysokie
Nuclio przed wersją 1.16.0 zawiera podatność w API zarządzania projektami w Nuclio Dashboard. Każdy uwierzytelniony użytkownik, nawet bez członkostwa w docelowym projekcie, może ominąć autoryzację OPA na ścieżkach zapisu (PUT /api/projects/{id}, DELETE /api/projects) i modyfikować lub usuwać dowolny projekt wraz z powiązanymi zasobami.
Oryginalny opis (angielski, źródło NVD)
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.4, the Nuclio controller builds a curl invocation string for each cron trigger and stores it as the args of a Kubernetes CronJob container (/bin/sh, -c, <command>). Two fields in the trigger specification flow into this string without adequate sanitization: event.headers keys and event.body. This issue has been patched in version 1.16.4.