CVE-2026-82561
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Apache NiFi w wersjach 1.5.0–2.11.0 udostępnia metody interfejsu API REST, które zastępują całą zawartość grupy procesów przy użyciu definicji przepływu dostarczonej przez klienta, obejmujące zastępowanie przepływu grupy procesów wraz z wersjonowaną aktualizacją przepływu i operacjami zmiany bazy. Autoryzacja struktury dla tych metod była ograniczona do uprawnień do odczytu i zapisu w samej grupie procesów, w przeciwieństwie do odpowiednich metod asynchronicznego żądania aktualizacji, które również autoryzują komponenty zawarte w grupie procesów wraz z przywoływanymi usługami kontrolerów, kontekstami parametrów i dostawcami parametrów. W wyniku braku autoryzacji uwierzytelniony użytkownik z uprawnieniami do zapisu w Grupie Procesów może dostarczyć definicję przepływu, która modyfikuje lub usuwa komponenty w potomnych Grupach Procesów chronionych przez bardziej restrykcyjne zasady dostępu i może powiązać komponenty z Usługami Kontrolerów i Kontekstami Parametrów bez autoryzacji dla tych komponentów, do których się odwołuje. Istniejące kontrole weryfikacyjne ograniczyły wpływ na zatrzymane komponenty, a problem dotyczy tylko wdrożeń korzystających z zasad autoryzacji na poziomie komponentu, ponieważ struktura wymusza uprawnienia do zapisu jako granicę bezpieczeństwa. Zalecanym rozwiązaniem jest aktualizacja do Apache NiFi 2.12.0, która polega na zastosowaniu spójnej rozdzielczości referencyjnej i autoryzacji komponentów w przypadku metod wymiany grupy procesów i aktualizacji przepływu z wersjami
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org