CVSS: 9.8EPSS: 0%CPEs: 4EXPL: 0CVE-2017-5636
https://notcve.org/view.php?id=CVE-2017-5636
In Apache NiFi before 0.7.2 and 1.x before 1.1.2 in a cluster environment, the proxy chain serialization/deserialization is vulnerable to an injection attack where a carefully crafted username could impersonate another user and gain their permissions on a replicated request to another node. En Apache NiFi, en versiones anteriores a la 0.7.2 y versiones 1.x, anteriores a la 1.1.2, en un entorno de clúster, la serialización o deserialización de la cadena proxy es vulnerable a un ataque de inyección en el que un nombre de usuario cuidadosamente manipulado podría suplantar a otro usuario y obtener sus permisos en una petición copiada a otro nodo. • http://www.securityfocus.com/bid/96731 https://nifi.apache.org/security.html#CVE-2017-5636 • CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') •
CVSS: 7.5EPSS: 0%CPEs: 7EXPL: 0CVE-2017-7667
https://notcve.org/view.php?id=CVE-2017-7667
Apache NiFi before 0.7.4 and 1.x before 1.3.0 need to establish the response header telling browsers to only allow framing with the same origin. Apache NiFi anterior a versión 0.7.4 y versión 1.x anterior a 1.3.0, necesita establecer el encabezado de respuesta indicando a los navegadores que solo permitan integrarlo con el mismo origen. • http://www.securityfocus.com/bid/99018 https://lists.apache.org/thread.html/d779d6129de1a5aa149c219b2fc6e9e78156614eaac92a89cbaf9bce%40%3Cdev.nifi.apache.org%3E • CWE-346: Origin Validation Error •
CVSS: 6.1EPSS: 0%CPEs: 7EXPL: 0CVE-2017-7665
https://notcve.org/view.php?id=CVE-2017-7665
In Apache NiFi before 0.7.4 and 1.x before 1.3.0, there are certain user input components in the UI which had been guarding for some forms of XSS issues but were insufficient. En Apache NiFi anterior a versión 0.7.4 y versión 1.x anterior a 1.3.0, se presentan ciertos componentes de entrada de usuario en la interfaz de usuario (UI) que habían estado protegiendo algunas formas de XSS reflejado pero fueron insuficientes. • http://www.securityfocus.com/bid/99009 https://lists.apache.org/thread.html/d779d6129de1a5aa149c219b2fc6e9e78156614eaac92a89cbaf9bce%40%3Cdev.nifi.apache.org%3E • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 2EXPL: 0CVE-2016-8748
https://notcve.org/view.php?id=CVE-2016-8748
In Apache NiFi before 1.0.1 and 1.1.x before 1.1.1, there is a cross-site scripting vulnerability in connection details dialog when accessed by an authorized user. The user supplied text was not being properly handled when added to the DOM. En Apache NiFi, en versiones anteriores a la 1.0.1 y versiones 1.1.x anteriores a la 1.1.1, hay una vulnerabilidad de Cross-Site Scripting (XSS) en el diálogo de detalles de conexión cuando accede un usuario autorizado. El texto proporcionado por el usuario no se gestionaba correctamente cuando se añadía al DOM. • http://www.securityfocus.com/bid/95621 https://nifi.apache.org/security.html#CVE-2016-8748 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •