CVE-2026-52832: fallo de gravedad media en nuclio
Nuclio: Unauthenticated path traversal in spec.handler allows arbitrary file write in Dashboard container
Publicada el
33Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 4.9epss 0.6%
de la publicación al arma0 días
Publicada en NVD2 sept
1ª PoC29 jul
probabilidad de explotación
0.6%top 54% de las CVE
explotación observada
noninguna fuente lo reporta
1 exploit(s) público(s)
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.5, Nuclio Dashboard exposes POST /api/functions without authentication by default (NOP auth mode). The spec.handler field (e.g., mymodule:myfunction) is parsed by functionconfig.ParseHandler() which splits on : only — no path validation is applied to the module portion. This issue has been patched in version 1.16.5.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
Productos afectados
nuclio · nuclioPoCs públicas encontradas — 1
githubgithub.com/mdvpat/CVE-2026-52832-PoC-exploit-nuclio-dashboard★ 0⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — nuclio
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-79756HIGHNuclio: Unauthenticated OS command injection via namespace header in list-all resource path on local platformEPSS 7.5%CVE-2026-29042HIGHNuclio Shell Runtime Command Injection Leading to Privilege EscalationEPSS 3.5%CVE-2026-79754HIGHNuclio: Kaniko build tempDir command injectionEPSS 0.7%CVE-2026-79755HIGHNuclio: Unauthenticated OS command injection via function namespace in docker ps --filter label (local Docker platform)EPSS 0.7%CVE-2026-52833HIGHNuclio: Unsanitized runtimeAttributes.repositories injected into Groovy build.gradle leads to build-time RCEEPSS 0.6%CVE-2026-52831HIGHNuclio: Unsanitized cron trigger event headers/body injected into CronJob shell command leads to persistent RCEEPSS 0.5%