Vulnerabilidad · Publicado 02/09/2026 · Actualizado 03/09/2026
Nuclio, framework serverless para procesamiento de eventos en tiempo real, contiene una vulnerabilidad de inyección de comandos del shell en versiones anteriores a 1.17.4. Un atacante remoto puede ejecutar comandos arbitrarios en el host Docker explotando la interpolación no validada del namespace en comandos docker ps. El riesgo es alta en entornos con autenticación deshabilitada (configuración por defecto).
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.17.4, on the Nuclio local Docker platform, the function namespace is interpolated—unvalidated—into a double-quoted docker ps --filter "label=nuclio.io/namespace=<value>" command that is executed via the host shell (/bin/sh -c). Because the default auth kind is nop (unauthenticated), a remote attacker can inject arbitrary OS commands that run as root inside the dashboard container, which holds the Docker socket → host compromise. This issue has been patched in version 1.17.4.
Score: 8/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-78
Publicado en NIST NVD.