CVE-2026-48722
Nextflow: Incorrect default permissions in the nextflow auth login command
CVSS 3.1Medium
5.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 25.10.6, 26.04.3
Обновите Nextflow до версий 25.10.6, 26.04.3 или более поздних, либо вручную выставьте права 0600 на файл конфигурации.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Небезопасные права доступа по умолчанию к файлу токенов аутентификации в Nextflow.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Метод AuthCommandImpl.writeConfig сохраняет OIDC bearer-токены в ~/.nextflow/seqera-auth.config с правами 0644 (umask 022) без установки ограничительных масок доступа.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Локальный пользователь многопользовательской POSIX-системы может прочитать файл конфигурации и перехватить токен доступа к Seqera Platform.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
nextflow-ionextflow
>= 25.09.2-edge➔Fix: 25.10.6
nextflow-ionextflow
>= 25.11.0-edge➔Fix: 26.04.3
——
>= 25.09.2-edge➔Fix: 25.10.6
——
>= 26.00.0-edge➔Fix: 26.04.3
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/nextflow-io/nextflow/security/advisories/GHSA-92qf-fcph-v5wr
- github.comhttps://github.com/nextflow-io/nextflow/pull/7182
- github.comhttps://github.com/nextflow-io/nextflow/commit/41a5f24afec8a6e9769a24cae5e08b5462fbfdc1
- github.comhttps://github.com/nextflow-io/nextflow/commit/a2813c610a3e7f13d7a0a0b1b543b7ad47586eaa
- github.comhttps://github.com/nextflow-io/nextflow/releases/tag/v25.10.6
- github.comhttps://github.com/nextflow-io/nextflow/releases/tag/v26.04.3
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-48722: Nextflow: Incorrect default permissions in the nextflow auth login command. URL: https://cve.futuretools.ru/cve/CVE-2026-48722
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_48722,
title = {{CVE-2026-48722: Nextflow: Incorrect default permissions in the nextflow auth login command}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-48722}},
note = {Оперативный инженерный анализ киберугроз}
}