PT-2025-52439
CVE-2025-66524
·
تاريخ النشر
2025-12-19
·
تاريخ التحديث
2026-10-10
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache NiFi من 1.20.0 إلى 2.6.0
الوصف
يستخدم معالج GetAsanaObject في Apache NiFi خدمة عميل ذاكرة التخزين المؤقتة الموزعة (Distributed Map Cache) لإدارة الحالة. يستخدم هذا المعالج تسلسل وفك تسلسل كائنات Java دون تصفية مناسبة، مما يخلق إمكانية للاستغلال من خلال معلومات الحالة المُتلاعب بها المخزنة في خادم ذاكرة التخزين المؤقت. يتطلب الاستغلال الناجح الوصول إلى خادم ذاكرة التخزين المؤقت المُهيأ وإلى نظام Apache NiFi الذي يقوم بتشغيل معالج GetAsanaObject.
التوصيات
قم بالتحديث إلى الإصدار 2.7.0 من Apache NiFi، الذي يستبدل تسلسل كائنات Java بتسلسل JSON.
قم بإزالة المعالج GetAsanaObject الموجود في الحزمة nifi-asana-processors-nar.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾