CVE-2026-54665
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Apache NiFi w wersjach od 0.0.1 do 2.9.0 nie weryfikuje wartości nagłówków Proxy i Forwarded, co pozwala na budowanie nieprawidłowych URL-i. Wersja 1.6.0 wprowadziła możliwość ograniczenia wartości w nagłówku Host, ale nie zastosowano tego do alternatywnych nagłówków.
Ocena ryzyka
Brak walidacji nagłówków proxy może prowadzić do nieautoryzowanych przekierowań lub odniesień do danych, co stwarza ryzyko dla bezpieczeństwa aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację do Apache NiFi w wersji 2.10.0, która wprowadza walidację nagłówków X-ProxyHost i X-Forwarded-Host. Należy również skonfigurować aplikację z użyciem HTTPS oraz zastosować serwery proxy do filtrowania nagłówków.
Inne podatności w Apache NiFi
Zobacz wszystkie- CVE-2017-5635Wysokie
W Apache NiFi przed wersją 0.7.2 oraz 1.x przed wersją 1.1.2, w środowisku klastrowym, jeśli żądanie anonimowego użytkownika jest replikowane do innego węzła, to tożsamość węzła źródłowego jest używana zamiast tożsamości 'anonimowego' użytkownika.
- CVE-2017-7667Wysokie
Apache NiFi w wersjach przed 0.7.4 oraz 1.x przed 1.3.0 nie ustawia nagłówka odpowiedzi, który informuje przeglądarki, aby zezwalały na osadzanie tylko z tego samego źródła.
- CVE-2026-68980Krytyczne
Apache NiFi w wersjach 2.0.0 do 2.10.0 umożliwia tworzenie, odczytywanie i usuwanie Assetów powiązanych z kontekstami parametrów przez REST API. Framework autoryzuje usuwanie Assetów na podstawie identyfikatora kontekstu parametru, ale nie weryfikuje, czy Asset faktycznie należy do tego kontekstu. Instalacje bez zróżnicowanych poziomów autoryzacji między kontekstami nie są podatne. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2026-68979Krytyczne
Apache NiFi w wersjach od 1.10.0 do 2.10.0 udostępnia metodę REST API do aktualizacji kontekstu parametrów, która nie wymusza sprawdzania autoryzacji na komponentach odwołujących się do wartości parametrów. Uwierzytelniony użytkownik upoważniony do modyfikacji kontekstu parametrów, ale nieupoważniony do komponentów odwołujących się, może zmienić wartości parametrów wpływające na te komponenty. W przypadku, gdy wartość parametru zawiera skryptowalną treść, aktualizacja parametru może prowadzić do wykonania kodu podczas automatycznej walidacji komponentu. Problem dotyczy tylko wdrożeń z politykami autoryzacji na poziomie komponentów. Zalecana jest aktualizacja do Apache NiFi 2.11.0.
- CVE-2017-5636Krytyczne
W Apache NiFi przed wersją 0.7.2 oraz 1.x przed wersją 1.1.2 w środowisku klastrowym, proces serializacji/deserializacji łańcucha proxy jest podatny na atak typu injection, który pozwala na podszycie się pod innego użytkownika za pomocą starannie skonstruowanej nazwy użytkownika.
- CVE-2026-68981Wysokie
Apache NiFi od wersji 1.5.0 do 2.10.0 obsługuje zakodowane gzip żądania HTTP dla REST API przy użyciu filtra kodowania Jersey. Framework egzekwował konfigurowalny maksymalny rozmiar żądania na skompresowanym ładunku, a nie na zdekompresowanym wyjściu, co pozwalało złośliwemu klientowi na wysyłanie spreparowanych żądań, które mogły zużywać nadmierne ilości pamięci.
- CVE-2026-62354Średnie
Obsługa autoryzacji dla żądań walidacji kontekstu parametru w Apache NiFi od wersji 1.10.0 do 2.10.0 pozwala klientom z dostępem do odczytu na przesyłanie proponowanych wartości parametrów. Proponowane wartości zastępują bieżącą konfigurację, umożliwiając użytkownikom z dostępem do odczytu wywoływanie predefiniowanych metod walidacji komponentów z alternatywnymi ustawieniami. Instalacje Apache NiFi, które nie implementują różnych poziomów autoryzacji dla przeglądania i modyfikowania konfiguracji kontekstu parametru, nie są podatne na tę lukę.
- CVE-2026-44914Wysokie
Apache NiFi w wersjach od 1.12.0 do 2.9.0 nie sprawdza autoryzacji przy wymianie grup procesów, które zawierają komponenty z oznaczeniem Restricted. Brak tej autoryzacji pozwala użytkownikom z ogólnym dostępem do zapisu na dodawanie komponentów z ograniczonym dostępem.
- CVE-2026-44911Średnie
W Apache NiFi w wersjach od 1.15.0 do 2.9.0, obsługa autoryzacji dla żądań weryfikacji konfiguracji komponentów pozwala klientom z dostępem do odczytu na przesyłanie proponowanych właściwości konfiguracyjnych. Te właściwości mogą nadpisywać aktualną konfigurację, co umożliwia użytkownikom z dostępem do odczytu wywoływanie zdefiniowanych metod weryfikacji z alternatywnymi ustawieniami.
- CVE-2023-40037Średnie
Apache NiFi w wersjach od 1.21.0 do 1.23.0 ma lukę w walidacji adresów URL połączeń JDBC i JNDI JMS, co pozwala uwierzytelnionym użytkownikom na obejście tej walidacji za pomocą niestandardowego formatowania wejścia.
Oryginalny opis (angielski, źródło NVD)
Apache NiFi 0.0.1 through 2.9.0 support building qualified URLs from one of several HTTP request headers that provide an alternative to the standard Host header without validating the values provided. Apache NiFi 1.6.0 introduced a configurable application property to restrict values provided in the HTTP Host header, but did not apply the validation to alternative Proxy and Forwarded headers. The absence of proxy host header validation allowed a client to instruct Apache NiFi web services to construct invalid qualified URLs for redirection or data references. Upgrading to Apache NiFi 2.10.0 is the recommended mitigation, which implements validation for the X-ProxyHost and X-Forwarded-Host HTTP request headers based on the nifi.web.proxy.host property. Enabling header validation requires configuring the application with HTTPS. Reverse proxy servers in front of Apache NiFi are responsible for filtering input request headers and providing allowed values to the application.