FICHE CVE

CVE-2026-17593

Publiée le 2026-08-07 · Dernière modification le 2026-09-01

🇫🇷 EN BREF

Nexus Repository 3 (ainsi que l'ancienne version 2) est affecté si un compte dispose des permissions permettant de modifier les paramètres système. Un attaquant possédant ces identifiants peut utiliser une API de configuration pour exécuter du code arbitraire sur le serveur ou provoquer un blocage d'authentification persistant. Il s'agit d'une attaque réseau qui nécessite des privilèges de bas niveau, mais aucune interaction directe avec l'utilisateur pour réussir.

CVSS 4.07.2 ÉLEVÉE

Type de faiblesse

CWE-470

Publiée2026-08-07

Dernière modification2026-09-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

An account holding the nexus:settings:update permission in Nexus Repository 3 (or the equivalent nexus:settings permission in the legacy Nexus Repository 2) could submit arbitrary values as realm identifiers through an internal configuration API that did not validate them against the set of registered realms. Because unrecognized entries were persisted and re-evaluated on every realm load via a legacy code path, this could result in unintended code executing inside the Nexus Repository process, and in some cases a persistent authentication lockout that was not visible through the administrative UI.