Nexus Repository 3にSQLインジェクションの脆弱性、データを改ざんされるおそれ
Summary
Nexus Repository 3の「Reindex Search Tables By Pattern」タスクに、SQLインジェクションの脆弱性が見つかりました。タスクの作成権限を持つユーザーが、データベース内のデータを改ざんできるおそれがあります。3.90.0以降3.98.0未満が対象で、3.98.0に修正版が公開されています。このタスクは標準では無効のため、影響を受けるかは設定を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Nexus Repository 3の「Reindex Search Tables By Pattern」タスクに、SQLインジェクションの脆弱性が見つかりました。タスクの作成権限を持つユーザーが、データベース内のデータを改ざんできるおそれがあります。3.90.0以降3.98.0未満が対象で、3.98.0に修正版が公開されています。このタスクは標準では無効のため、影響を受けるかは設定を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Sonatype | Nexus Repository 3 |
≥ 3.90.0, < 3.98.0 |
3.98.0 |
Original description The description as published by the source.
Sonatype Nexus Repository 3 contains a SQL injection vulnerability in the optional "Reindex Search Tables By Pattern" task. A user who holds the nexus:tasks:create privilege can supply a crafted filter condition that the database runs as SQL. This allows the user to modify data in the Nexus database. The task is available only when the non-default setting nexus.reindex.search.by.pattern.visible is set to true.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web help.sonatype.com
- web support.sonatype.com
- web nvd.nist.gov
- web support.sonatype.com
- web github.com