Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2025-14262

Jobs can be saved as workflows with wrong permissions on KNIME Business Hub

Публикация: 08.12.2025·Обновлена: 08.12.2025, 20:19·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A wrong permission check in KNIME Business Hub before version 1.17.0 allowed an authenticated user to save jobs of other users as if there were saved by the job owner. The attacker must have permissions to access the jobs but then they were saved into the catalog service using the wrong owner permissions. Therefore it may have been possible to save into spaces where the attacker does not have write permissions. There is no workaround.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

KNIME / KNIME Business Hub 

{
  "status": "affected",
  "version": "0",
  "lessThan": "1.17.0",
  "versionType": "semver"
}
{
  "status": "unaffected",
  "version": "1.17.0",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 4.0 · cve5.3
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/AU:Y/R:U/V:C/RE:M/U:Green
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиинизкие
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системынизкое
VI · Целостность уязвимой системынизкое
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет
AU · AUзначение Y; см. спецификацию CVSS
R · Rзначение U; см. спецификацию CVSS
V · Vзначение C; см. спецификацию CVSS
RE · REзначение M; см. спецификацию CVSS
U · Uзначение Green; см. спецификацию CVSS

Классы CWE

CWE-708 · Неправильное назначение собственника

Источники и ссылки

Материал · www.knime.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:09:26.481609+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T17:03:59.258952+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T17:03:59.258952+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T17:03:59.258952+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:09:26.481609+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T17:03:59.258952+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:09
  2. Данные обновлены05.11.2026, 00:10
  3. Данные обновлены04.11.2026, 00:09
  4. Данные обновлены03.11.2026, 00:08
  5. Данные обновлены02.11.2026, 00:07
  6. Данные обновлены31.10.2026, 11:54
  7. Данные обновлены30.10.2026, 13:57
  8. Данные обновлены29.10.2026, 10:51
  9. Опубликована28.10.2026, 20:04

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-115519
Sensitive cookies without 'Secure' and 'HttpOnly' attributes in KNIME Business Hub
KNIME / KNIME Business Hub
Низкий2.1
0,19 %
22.10.2026
CVE-2026-115517
Unrestricted network access between execution contexts in KNIME Business Hub
KNIME / KNIME Business Hub
Средний6.4
0,43 %
22.10.2026
CVE-2026-115502
DataApp links without login expose job information to other user in KNIME Business Hub
KNIME / KNIME Business Hub
Средний6.3
0,28 %
22.10.2026
CVE-2026-115454
Large tables in data apps can bring down execution services in KNIME Hub
KNIME / KNIME Business Hub
Средний5.3
0,37 %
22.10.2026
CVE-2026-115494
CSRF protection could be tricked by forged X-Forwarded-Host header in KNIME Business Hub
KNIME / KNIME Business Hub
Средний5.3
0,19 %
22.10.2026
CVE-2025-14262: Jobs can be saved as workflows with wrong permissions on KNIME Business Hub · CVE Радар