CVE-2026-44913
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Nieprawidłowe ucieczki nazw tabel w bazie danych w procesorze CaptureChangeMySQL w Apache NiFi w wersjach od 1.2.0 do 2.9.0 umożliwiają wstrzykiwanie poleceń SQL przy użyciu spreparowanych nazw. Wersja 1.8.0 wprowadziła ręczne granice cytatów, które ograniczyły możliwości wstrzykiwania, ale nie objęły dodatkowych strategii.
Ocena ryzyka
Organizacje korzystające z podatnych wersji Apache NiFi mogą być narażone na ataki SQL injection, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację do Apache NiFi w wersji 2.10.0, która wprowadza bardziej solidne mechanizmy ucieczki identyfikatorów.
Oryginalny opis (angielski, źródło NVD)
Improper escaping of database table names in the CaptureChangeMySQL Processor included with Apache NiFi 1.2.0 through 2.9.0 allows for injecting SQL commands using crafted naming. Manual quoted boundaries added in Apache NiFi 1.8.0 narrowed the scope of potential injection options, but did not cover additional strategies. Apache NiFi installations that do not use the CaptureChangeMySQL Processor are not subject to this vulnerability. Upgrading to Apache NiFi 2.10.0 is the recommended mitigation, which incorporates more robust identifier escaping.