CVE-2026-76804

W Nuclei od wersji 3.0.0 do 3.10.0 ścieżka payloadu DAST/fuzz w pkg/fuzz/parts.go może wielokrotnie ewaluować podstawione dane runtime, co pozwala na drugi przebieg ewaluacji i reinterpretację treści odpowiedzi przechwyconej przez wewnętrzny ekstraktor jako składni szablonu. Przy włączonej opcji -env-vars złośliwy cel skanowania może zwrócić treść, która ujawnia zmienne środowiskowe hosta skanera, takie jak poświadczenia, klucze API lub tokeny.

W Nuclei od wersji 3.0.0 do 3.10.0 biblioteka JavaScript nuclei/mysql nie egzekwuje lokalnego sandboxa plików, gdy szablon JavaScript podaje opcję allowAllFiles w DSN MySQL. Niezaufany szablon javascript: skanujący kontrolowany przez atakującego endpoint MySQL może spowodować, że serwer wyśle żądania LOAD DATA LOCAL INFILE dla dowolnych ścieżek, a klient MySQL skanera odczyta pliki i zwróci ich zawartość serwerowi, mimo że opcja -allow-local-file-access jest wyłączona.

W Nuclei od wersji 3.0.0 do 3.10.0 gałąź ładowania szablonów DAST nie stosuje sprawdzenia podpisu niepodpisanych szablonów kodu przed przyjęciem szablonu zawierającego zarówno blok fuzzing:, jak i niepodpisany blok code:. Gdy operator włączy opcję -dast, niezaufany szablon wieloprotokołowy może umieścić niepodpisane żądanie kodu w kolejce wykonania i uruchomić dowolne polecenia powłoki, nawet bez opcji -code lub ważnego podpisu kryptograficznego.

Nuclei w wersjach przed 3.11.1 buforuje weryfikację podpisu szablonów wyłącznie na podstawie czasu modyfikacji pliku, bez sum kontrolnych zawartości. Atakujący może zastąpić zweryfikowane szablony niepodpisaną złośliwą zawartością i przywrócić oryginalny czas modyfikacji, aby obejść kontrolę podpisu i wykonać dowolne polecenia systemu operacyjnego.

W Nuclei w wersjach od 3.0.0 do przed 3.8.0 luka w środowisku uruchomieniowym protokołu JavaScript pozwala szablonom JavaScript odczytywać lokalne pliki .js i .json przez funkcję require(), omijając domyślne ograniczenie dostępu do plików lokalnych.

Nuclei to skaner podatności zbudowany na DSL opartym na YAML. W wersjach od 3.0.0 do przed 3.8.0 podatność w silniku ewaluacji wyrażeń umożliwia złośliwemu serwerowi docelowemu wstrzyknięcie i wykonanie obsługiwanych wyrażeń DSL. Dzieje się tak, gdy dane odpowiedzi HTTP zawierające składnię helper/funkcji są ponownie wykorzystywane przez szablony wieloetapowe. Jeśli opcja -env-vars / -ev jest jawnie włączona, może to ujawnić zmienne środowiskowe hosta; opcja jest domyślnie wyłączona.