CVE-2026-17603

8.8 Élevée

Publiée le 07/08/2026 à 19:17 · Modifiée le 23/10/2026 à 22:10 · Analysée par le NVD · Source : 103e4ec9-0a87-450b-af77-479448ddef11

Description

Nexus Repository 3 did not sufficiently restrict which HikariCP connection-pool properties could be set through the DataStore configuration API. A user holding the nx-datastores-update permission could set the connectionInitSql property to execute arbitrary SQL against the configured database on every new connection. On the default H2 database backend, this could be leveraged to achieve remote code execution as the Nexus process user.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	103e4ec9-0a87-450b-af77-479448ddef11	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	8.8 Élevée	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-94

Références

https://help.sonatype.com/en/sonatype-nexus-repository-3-95-0-release-notes.html Release Notes
https://support.sonatype.com/hc/en-us/articles/53890127489427/ Vendor Advisory

CVE-2026-17603

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs