PT-2020-13791 · Apache · Apache Nifi

Publicado 2020-10-01 · Atualizado 2025-09-12 · CVE-2020-13940

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache NiFi de 1.0.0 a 1.11.4

Descrição

A vulnerabilidade permite que administradores confiáveis configurem inadvertidamente um arquivo XML potencialmente malicioso, o que pode realizar chamadas externas a serviços por meio de XXE.

Recomendações

Para as versões 1.0.0 a 1.11.4 do Apache NiFi, considere restringir o acesso ao gerenciador de serviços de notificação e ao autorizador de políticas para minimizar o risco de exploração. Como solução temporária, evite usar arquivos XML potencialmente maliciosos até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

BIT-NIFI-2020-13940

CVE-2020-13940

GHSA-Q4XF-3PMQ-3HW8

OPENSUSE-SU-2024:13324-1

Produtos afetados

Apache Nifi

Referências · 9

• https://github.com/apache/nifi/commit/7f0416ee8bdcee95e28409cc6fae9c1394c2a798 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-13940 · Nota de Segurança
• https://suse.com/security/cve/CVE-2020-14940 · Nota
• https://suse.com/security/cve/CVE-2020-13940 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2024:13324-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-nifi-2020-13940 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q4xf-3pmq-3hw8 · Aviso do Fabricante
• https://nifi.apache.org/security#CVE-2020-13940 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-13940 · Aviso do Fabricante