CVE-2026-52833
WysokieCVSS 8.0Streszczenie
Nuclio, framework serverless, przed wersją 1.16.5 ma podatność w runtime Java, która generuje plik build.gradle podczas budowania funkcji przy użyciu pakietu text/template Go. Szablon renderuje wartości runtimeAttributes.repositories[] z akcją {{ . }}, która nie wykonuje escapowania. Atakujący może osadzić zamykający nawias klamrowy, aby wyrwać się z bloku repositories i dodać dowolne instrukcje Groovy, które wykonują się bezwarunkowo podczas fazy konfiguracji Gradle.
Ocena ryzyka
Atakujący może wykonać dowolny kod w fazie konfiguracji Gradle, co może prowadzić do naruszenia bezpieczeństwa środowiska budowania i potencjalnie do zdalnego wykonania kodu.
Rekomendacja
Zaleca się aktualizację do wersji 1.16.5 lub nowszej, która zawiera poprawkę.
Inne podatności w Nuclio
Zobacz wszystkie- CVE-2026-79756Wysokie
Nuclio, framework serverless, przed wersją 1.17.4 ma niekompletną poprawkę dla nieuwierzytelnionego wstrzykiwania komend OS w dashboardzie na platformie lokalnej/Docker. Ścieżka list-all zasobów interpoluje parametr resourceNamespace bez cudzysłowów do komendy /bin/sh -c, co pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie metaznaków przez nagłówki HTTP i wykonanie dowolnych komend w kontenerze dashboardu.
- CVE-2026-79755Wysokie
Nuclio, framework serverless, przed wersją 1.17.4 ma podatność na wstrzykiwanie komend OS w lokalnej platformie Docker. Przestrzeń nazw funkcji jest interpolowana bez walidacji do podwójnie cudzysłowionej komendy docker ps --filter, wykonywanej przez /bin/sh -c. Ponieważ domyślny typ uwierzytelniania to nop (brak uwierzytelniania), zdalny atakujący może wstrzyknąć dowolne komendy OS, które wykonują się jako root w kontenerze dashboardu, który posiada socket Docker, co prowadzi do przejęcia hosta.
- CVE-2026-79754Wysokie
Nuclio, framework serverless, od wersji 1.6.19 do przed 1.17.2 ma podatność w pipeline budowania dashboardu, która nie sanityzuje pola spec.build.tempDir przed użyciem go do konstrukcji komendy powłoki. Gdy włączony jest builder Kaniko, użytkownik z uprawnieniami do tworzenia funkcji może wstrzyknąć metaznaki powłoki i uzyskać wykonanie dowolnych komend w kontenerze dashboardu, który ma konto usługi Kubernetes z dostępem do Secrets, Pods, Jobs i Deployments.
- CVE-2026-52832Średnie
Nuclio to framework "Serverless" do przetwarzania zdarzeń w czasie rzeczywistym i danych. Przed wersją 1.16.5, Nuclio Dashboard udostępnia POST /api/functions bez uwierzytelniania domyślnie (tryb NOP auth). Pole spec.handler (np. mymodule:myfunction) jest parsowane przez funkcję functionconfig.ParseHandler(), która dzieli tylko na : — nie jest stosowana walidacja ścieżki dla części modułu. Problem naprawiono w wersji 1.16.5.
- CVE-2026-52831Wysokie
Nuclio przed wersją 1.16.4 zawiera podatność na wstrzykiwanie poleceń w konstrukcji wywołania curl dla wyzwalaczy cron. Klucze nagłówków event.headers i event.body nie są odpowiednio sanityzowane, co pozwala na wstrzyknięcie niebezpiecznych argumentów do polecenia wykonywanego w kontenerze CronJob.
- CVE-2026-45730Wysokie
Nuclio przed wersją 1.16.0 zawiera podatność w API zarządzania projektami w Nuclio Dashboard. Każdy uwierzytelniony użytkownik, nawet bez członkostwa w docelowym projekcie, może ominąć autoryzację OPA na ścieżkach zapisu (PUT /api/projects/{id}, DELETE /api/projects) i modyfikować lub usuwać dowolny projekt wraz z powiązanymi zasobami.
Oryginalny opis (angielski, źródło NVD)
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.5, Nuclio's Java runtime generates a build.gradle file during function builds using Go's text/template package. The template renders runtimeAttributes.repositories[] values with the {{ . }} action, which performs no escaping. An attacker can embed a closing brace (}) to break out of the repositories {} block and append arbitrary Groovy statements that execute unconditionally during the Gradle configuration phase. This issue has been patched in version 1.16.5.