CVE-2026-3288

Wysokie

Opublikowano: 09/03/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja `nginx.ingress.kubernetes.io/rewrite-target` może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

Ocena ryzyka

Organizacja może być narażona na wykonanie dowolnego kodu oraz ujawnienie wrażliwych danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się przegląd i ograniczenie użycia adnotacji `nginx.ingress.kubernetes.io/rewrite-target`, a także monitorowanie dostępu do tajemnic w klastrze.

Inne podatności w ingress-nginx

CVE-2026-4342Wysokie
W ingress-nginx odkryto problem bezpieczeństwa, który pozwala na wstrzyknięcie konfiguracji do nginx za pomocą kombinacji adnotacji Ingress. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

Oryginalny opis (angielski, źródło NVD)

A security issue was discovered in ingress-nginx where the `nginx.ingress.kubernetes.io/rewrite-target` Ingress annotation can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)