CVE-2026-3199

Sonatype Nexus Repository 3 pozwala użytkownikowi posiadającemu uprawnienie do tworzenia lub aktualizacji ról przyznawać role i uprawnienia, których sam nie posiada. Może to prowadzić do eskalacji uprawnień aż do pełnego dostępu administracyjnego.

Sonatype Nexus Repository 3 pozwala kontu użytkownika posiadającemu uprawnienie edycji w hostowanym repozytorium R na zapisanie treści skryptu w metadanych przesłanego pakietu R. Skrypt uruchamia się w przeglądarce użytkownika, który otworzy szczegóły tego pakietu w interfejsie Browse, z uprawnieniami przeglądającego użytkownika.

Sonatype Nexus Repository 3 pozwala nieuwierzytelnionemu zdalnemu atakującemu dostarczyć kontrolowane przez siebie dane wejściowe do wywołania ładowania klasy Java poprzez endpoint ExtDirect. Umożliwia to atakującemu ustalenie, czy określone klasy są obecne w aplikacji. Problem sam w sobie nie pozwala na wykonanie kodu.

W Nexus Repository 3 brakuje kontroli autoryzacji w ścieżce przesyłania NuGet Components API, co pozwala kontu z jedynie uprawnieniami odczytu i przeglądania repozytorium na przesyłanie pakietów symboli NuGet (.snupkg). Wykorzystanie wymaga hostowanego repozytorium NuGet z włączonym Symbol Server, a przy włączonym dostępie anonimowym warunek ten jest spełniony domyślnie.

W Sonatype Nexus Repository 3 dwa endpointy REST API zarządzania grupami blobstore nie egzekwowały poprawnie autoryzacji. Użytkownik z uprawnieniem nexus:blobstores:create mógł wywołać te endpointy, aby przekonwertować istniejący blobstore na grupowy blobstore, co powinno wymagać uprawnienia nexus:blobstores:update. Może to prowadzić do nieautoryzowanej modyfikacji konfiguracji blobstore bez zgody administratora.

W dotkniętych wersjach Nexus Repository 3 endpoint wykonania skryptów (POST /service/rest/v1/script/{name}/run) nie weryfikował, czy wykonanie skryptów zostało administracyjnie wyłączone. Konto z uprawnieniem do wykonywania skryptów mogło nadal uruchamiać wcześniej utworzone skrypty nawet po ustawieniu nexus.scripts.allowCreation=false, co podważa oczekiwanie, że to ustawienie całkowicie blokuje wykonywanie skryptów.

Użytkownik z uprawnieniami nx-licensing-create może przesłać specjalnie przygotowany plik licencyjny, co pozwala na wykonanie dowolnych poleceń systemowych jako użytkownik procesu Nexus w wersjach Sonatype Nexus Repository 3 przed 3.92.0.

Podatność w Sonatype Nexus Repository umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przeprowadzanie ataków polegających na odgadywaniu haseł użytkowników za pośrednictwem punktów końcowych uwierzytelniania.

W Sonatype Nexus Repository w wersjach od 3.6.0 do przed 3.92.0 uwierzytelniony użytkownik z uprawnieniem do przesyłania plików do hostowanego repozytorium może zapisać treść powodującą wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika przeglądającego katalog repozytorium przez stronę indeksu HTML. Może to pozwolić atakującemu na wykonanie działań w kontekście sesji ofiary.