CVE-2026-68980
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Apache NiFi w wersjach 2.0.0 do 2.10.0 umożliwia tworzenie, odczytywanie i usuwanie Assetów powiązanych z kontekstami parametrów przez REST API. Framework autoryzuje usuwanie Assetów na podstawie identyfikatora kontekstu parametru, ale nie weryfikuje, czy Asset faktycznie należy do tego kontekstu. Instalacje bez zróżnicowanych poziomów autoryzacji między kontekstami nie są podatne. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
Ocena ryzyka
Ryzyko nieautoryzowanego usunięcia Assetów należących do innych kontekstów parametrów, co może zakłócić działanie systemu.
Rekomendacja
Zaleca się aktualizację Apache NiFi do wersji 2.11.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Apache NiFi 2.0.0 through 2.10.0 support creating, reading, and deleting Assets associated with Parameter Contexts through the REST API. The framework authorizes asset deletion against the owning Parameter Context using the supplied Parameter Context Identifier and Asset Identifier. The framework performed authorized based on the supplied Parameter Context Identifier without verifying the requested Identifier against the stored Identifier. Apache NiFi installations that do not implement different levels of authorization across Parameter Contexts are not subject to this vulnerability, because the framework enforces write permissions as the security boundary. Upgrading to Apache NiFi 2.11.0 is the recommended mitigation, which verifies Parameter Context ownership of the requested Asset before deletion using the same strategy applied to Asset read operations.