PT-2026-32513 · Apache · Apache Nifi

John Walker · Publicado 2026-04-13 · Atualizado 2026-05-12 · CVE-2026-39816

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Apache NiFi (versões afetadas não especificadas)

Description O componente TinkerpopClientService da plataforma de processamento de dados Apache NiFi contém erros de controle de acesso. Especificamente, falta a permissão Execute Code necessária, o que pode permitir que um invasor remoto execute código arbitrário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

BDU:2026-05723

BIT-NIFI-2026-39816

CVE-2026-39816

GHSA-2J9M-25XV-MP6R

Produtos afetados

Apache Nifi

Referências · 17

• 🔥 https://github.com/ZeroPathAI/nifi-CVE-2026-39816-poc · Exploit
• https://github.com/apache/nifi/commit/72fab7dde74edfd1063b57e87b0334340c1fbe93 · Nota
• https://github.com/apache/nifi/pull/11108 · Nota
• https://github.com/apache/nifi · Nota
• https://twitter.com/oss_security/status/2043700555134943375 · Publicação no Twitter
• https://lists.apache.org/thread/gh9g7xwvv4l20gzff6q3367snf35ctcb · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-nifi-2026-39816 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39816 · Nota de Segurança
• http://openwall.com/lists/oss-security/2026/04/13/8 · Nota
• https://osv.dev/vulnerability/GHSA-2j9m-25xv-mp6r · Aviso do Fabricante
• https://lists.apache.org/thread/xnx23t6so8c674sh9f5ofz5k08rg4hcp · Nota
• https://twitter.com/ZeroPathAI/status/2053867743921713448 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-05723 · Nota de Segurança
• https://twitter.com/CVEnew/status/2052811034008658115 · Publicação no Twitter
• https://twitter.com/LeftenantZero/status/2054030386834055457 · Publicação no Twitter