CVE-2026-39816
高已发布
Apache NiFi：TinkerpopClientService 缺少执行代码所需权限
- 已发布
- 2026年5月8日
- 已更新
- 2026年5月9日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月25日
初级CVSS
7.5/ 10高
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:I/V:C/RE:L/U:Green0.8%
低 · 未来 30 天
- 百分位
- 53.3%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
可选扩展组件 TinkerpopClientService 在 Apache NiFi 2.0.0-M1 至 2.8.0 中缺少带有“执行代码所需权限”的 Restricted 注解。TinkerpopClientService 支持为脚本提交类型配置 ByteCode 提交，从而在提交查询之前于服务中启用 Groovy 脚本执行。缺少 Restricted 注解使得在采用细粒度授权且安装了可选 TinkerpopClientService 的安装环境中，没有执行代码权限的用户也能配置该服务。未安装 nifi-other-graph-services-nar 的 Apache NiFi 安装不受此漏洞影响。建议升级至 Apache NiFi 2.9.0 作为缓解措施。
来源
2- My-Exploits漏洞利用
Metasploit 模块、Python PoC 以及用于四个平台 CVE 的一次性 Docker 实验环境：Keycloak (CVE-2026-18963)、Apache NiFi (CVE-2026-39816)、HashiCorp Vault (CVE-2026-5006)、HashiCorp Nomad (CVE-2026-7474)。
CVE-2026-39816 的 POC，该漏洞允许没有执行代码权限的 NiFi 用户运行任意脚本
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。