CVE-2024-37389: fallo de gravedad media en Apache NiFi
Apache NiFi: Improper Neutralization of Input in Parameter Context Description
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
18Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 4.6epss 24%
Apache NiFi 1.10.0 through 1.26.0 and 2.0.0-M1 through 2.0.0-M3 support a description field in the Parameter Context configuration that is vulnerable to cross-site scripting. An authenticated user, authorized to configure a Parameter Context, can enter arbitrary JavaScript code, which the client browser will execute within the session context of the authenticated user. Upgrading to Apache NiFi 1.27.0 or 2.0.0-M4 is the recommended mitigation.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
Productos afectados
Apache Software Foundation · Apache NiFiCVEs relacionadas — Apache NiFi
En el mismo producto, de las más peligrosas a las menos.
CVE-2023-34468HIGHApache NiFi: Potential Code Injection with Database Services using H2EPSS 61.9%CVE-2017-15697—CVE-2017-15697EPSS 4.8%CVE-2018-1309—CVE-2018-1309EPSS 4.4%CVE-2020-1928—CVE-2020-1928EPSS 4.0%CVE-2017-5636—CVE-2017-5636EPSS 3.6%CVE-2022-33140—Improper Neutralization of Command Elements in Shell User Group ProviderEPSS 3.5%