CVE-2026-11311
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 — wyżej niż 43% wszystkich znanych CVE
Streszczenie
W produkcie NGINX Gateway Fabric, gdy NGINX Plus jest skonfigurowany jako płaszczyzna danych, wykryto podatność na wstrzykiwanie kodu w komponencie generatora konfiguracji NGINX. Wartości łańcuchowe pochodzące od użytkownika z pól serverTokens w zasobie NginxProxy oraz extraAuthArgs w zasobie AuthenticationFilter są bezpośrednio renderowane do szablonów konfiguracji NGINX bez sanityzacji lub escapowania. Uwierzytelniony atakujący z uprawnieniami do tworzenia lub modyfikowania tych zasobów może wstrzyknąć dowolne dyrektywy konfiguracyjne NGINX.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad konfiguracją NGINX przez uwierzytelnionego atakującego, co może prowadzić do naruszenia integralności i bezpieczeństwa całej infrastruktury. Podatność dotyczy płaszczyzny sterowania, a nie danych, więc bezpośrednie narażenie danych jest ograniczone, ale skutki mogą być poważne.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez producenta dla NGINX Gateway Fabric oraz ograniczenie uprawnień do tworzenia i modyfikowania zasobów NginxProxy i AuthenticationFilter tylko do zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
When NGINX Plus is configured as the data plane for NGINX Gateway Fabric, an injection vulnerability exists in the NGINX configuration generator component of NGINX Gateway Fabric. User-supplied string values from the NginxProxy Custom Resource Definition serverTokens field and the AuthenticationFilter Custom Resource Definition extraAuthArgs field are rendered directly into NGINX configuration templates without sanitization or escaping. An authenticated attacker with permission to create or modify these Custom Resource Definitions may craft values that inject arbitrary NGINX configuration directives. This is a control plane issue; there is no data plane exposure from the vulnerability trigger itself. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.