Una vulnerabilidad de alta gravedad recientemente revelada en Apache NiFi expone los sistemas a un bypass de autorización que podría permitir a usuarios con privilegios bajos modificar componentes restringidos. Registrada como CVE-2026-25903, la falla afecta a las versiones de Apache NiFi 1.1.0 hasta 2.7.2 y ha sido corregida en la versión 2.8.0. Según el aviso de seguridad de Apache NiFi, el problema surge por la falta de verificaciones de autorización al actualizar propiedades de configuración 

Se ha revelado una nueva vulnerabilidad de alta gravedad en Apache NiFi que expone los sistemas a un bypass de autorización, lo que podría permitir a usuarios con menos privilegios modificar componentes restringidos.

Registrada como CVE-2026-25903, la falla afecta a las versiones de Apache NiFi 1.1.0 hasta la 2.7.2 y ha sido corregida en la versión 2.8.0.

Según el aviso de seguridad de Apache NiFi, el problema surge por la falta de verificaciones de autorización al actualizar propiedades de configuración de componentes de extensión anotados como Restricted.

Estos componentes restringidos requieren privilegios adicionales para ser añadidos a la configuración del flujo de datos, garantizando que solo usuarios de confianza puedan modificar la lógica de procesamiento sensible.

Sin embargo, debido a un fallo en el modelo de autorización del framework, una vez que un componente restringido era añadido por un usuario con privilegios, un usuario con menos privilegios podía alterar sus parámetros de configuración sin una validación adecuada.

Este vacío de diseño eludía los límites de permisos previstos, otorgando a usuarios limitados acceso no intencionado para modificar operaciones sensibles dentro de un flujo de trabajo de NiFi.

Los atacantes que exploten esta vulnerabilidad podrían manipular configuraciones de flujo de datos, ejecutar comandos del sistema inseguros o alterar la lógica de procesamiento en entornos que dependen de componentes restringidos.

La vulnerabilidad fue reportada de manera responsable por David Handermann y clasificada como de alta gravedad por el Comité de Gestión de Proyectos de Apache, basado en una evaluación CVSS.

El equipo de NiFi destacó que el riesgo de explotación depende de cómo se implementen los niveles de autorización.

En entornos con niveles de autorización bien definidos, las instalaciones sin privilegios distintos para componentes restringidos experimentan una exposición reducida.

Apache NiFi es ampliamente utilizado para construir pipelines de automatización de flujos de datos, lo que hace que esta falla sea especialmente relevante para organizaciones que manejan datos sensibles o regulados.

Se recomienda encarecidamente a los usuarios que actualicen a NiFi 2.8.0 o versiones posteriores para garantizar que se aplique la autorización adecuada en todas las actualizaciones de componentes restringidos.

Apache fomenta la divulgación responsable de vulnerabilidades a través de su lista de correo de seguridad privada en security@nifi.apache.org e insta a los usuarios a no divulgar detalles técnicos públicamente hasta que se libere una corrección verificada.