CVE-2026-79756 — Nuclio — Behoben in 1.17.4

Nuclio ist ein „Serverless“-Framework für Echtzeitereignisse und Datenverarbeitung. Vor Version 1.17.4 ist die Behebung der unauthentifizierten OS-Befehlsinjektion im nuclio-Dashboard auf der lokalen/Docker-Plattform unvollständig. Die Behebung fügte validateFunctionName für Funktionsnamen und common.Quote() für den Shell-Befehlspfad benannter Ressourcen hinzu, aber der Pfad für die Auflistung aller Ressourcen (ausgelöst, wenn kein spezifischer Ressourcenname angegeben wird) interpoliert den Parameter resourceNamespace weiterhin unmaskiert in eine /bin/sh -c-Befehlszeichenfolge. Ein nicht authentifizierter Angreifer kann Shell-Metazeichen über die HTTP-Header X-Nuclio-Function-Namespace, X-Nuclio-Project-Namespace oder X-Nuclio-Function-Event-Namespace einschleusen, um eine beliebige Befehlsausführung innerhalb des Dashboard-Containers zu erreichen. Dieses Problem wurde in Version 1.17.4 behoben.