CVSS: 9.8EPSS: 0%CPEs: 4EXPL: 0CVE-2017-5636
https://notcve.org/view.php?id=CVE-2017-5636
In Apache NiFi before 0.7.2 and 1.x before 1.1.2 in a cluster environment, the proxy chain serialization/deserialization is vulnerable to an injection attack where a carefully crafted username could impersonate another user and gain their permissions on a replicated request to another node. En Apache NiFi, en versiones anteriores a la 0.7.2 y versiones 1.x, anteriores a la 1.1.2, en un entorno de clúster, la serialización o deserialización de la cadena proxy es vulnerable a un ataque de inyección en el que un nombre de usuario cuidadosamente manipulado podría suplantar a otro usuario y obtener sus permisos en una petición copiada a otro nodo. • http://www.securityfocus.com/bid/96731 https://nifi.apache.org/security.html#CVE-2017-5636 • CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') •
CVSS: 6.5EPSS: 0%CPEs: 7EXPL: 0CVE-2017-12623
https://notcve.org/view.php?id=CVE-2017-12623
An authorized user could upload a template which contained malicious code and accessed sensitive files via an XML External Entity (XXE) attack. The fix to properly handle XML External Entities was applied on the Apache NiFi 1.4.0 release. Users running a prior 1.x release should upgrade to the appropriate release. Un usuario autorizado podría subir una plantilla que contenga código malicioso y que acceda a archivos sensibles mediante un ataque XEE (XML External Entity). La solución para manejar entidades externas XML se aplicó en la distribución 1.4.0 de Apache NiFi. • https://nifi.apache.org/security.html#CVE-2017-12623 • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 7.5EPSS: 0%CPEs: 7EXPL: 0CVE-2017-7667
https://notcve.org/view.php?id=CVE-2017-7667
Apache NiFi before 0.7.4 and 1.x before 1.3.0 need to establish the response header telling browsers to only allow framing with the same origin. Apache NiFi anterior a versión 0.7.4 y versión 1.x anterior a 1.3.0, necesita establecer el encabezado de respuesta indicando a los navegadores que solo permitan integrarlo con el mismo origen. • http://www.securityfocus.com/bid/99018 https://lists.apache.org/thread.html/d779d6129de1a5aa149c219b2fc6e9e78156614eaac92a89cbaf9bce%40%3Cdev.nifi.apache.org%3E • CWE-346: Origin Validation Error •
CVSS: 6.1EPSS: 0%CPEs: 7EXPL: 0CVE-2017-7665
https://notcve.org/view.php?id=CVE-2017-7665
In Apache NiFi before 0.7.4 and 1.x before 1.3.0, there are certain user input components in the UI which had been guarding for some forms of XSS issues but were insufficient. En Apache NiFi anterior a versión 0.7.4 y versión 1.x anterior a 1.3.0, se presentan ciertos componentes de entrada de usuario en la interfaz de usuario (UI) que habían estado protegiendo algunas formas de XSS reflejado pero fueron insuficientes. • http://www.securityfocus.com/bid/99009 https://lists.apache.org/thread.html/d779d6129de1a5aa149c219b2fc6e9e78156614eaac92a89cbaf9bce%40%3Cdev.nifi.apache.org%3E • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 2EXPL: 0CVE-2016-8748
https://notcve.org/view.php?id=CVE-2016-8748
In Apache NiFi before 1.0.1 and 1.1.x before 1.1.1, there is a cross-site scripting vulnerability in connection details dialog when accessed by an authorized user. The user supplied text was not being properly handled when added to the DOM. En Apache NiFi, en versiones anteriores a la 1.0.1 y versiones 1.1.x anteriores a la 1.1.1, hay una vulnerabilidad de Cross-Site Scripting (XSS) en el diálogo de detalles de conexión cuando accede un usuario autorizado. El texto proporcionado por el usuario no se gestionaba correctamente cuando se añadía al DOM. • http://www.securityfocus.com/bid/95621 https://nifi.apache.org/security.html#CVE-2016-8748 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •