CVE-2026-42934
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
NGINX Plus i NGINX Open Source mają podatność w module ngx_http_charset_module. Przy skonfigurowanych dyrektywach charset, source_charset, charset_map oraz proxy_pass z wyłączonym buforowaniem, nieautoryzowani atakujący mogą wysyłać żądania, które prowadzą do nadmiernego odczytu bufora w procesie roboczym NGINX-a.
Ocena ryzyka
Atakujący mogą uzyskać ograniczony dostęp do pamięci lub spowodować restart procesu NGINX, co może prowadzić do przerwy w dostępności usług.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji NGINX, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
NGINX Plus and NGINX Open Source have a vulnerability in the ngx_http_charset_module module. When charset, source_charset, and charset_map and proxy_pass with disabled buffering ("off") directives are configured, unauthenticated attackers can send requests that with conditions beyond the attackers' control to cause a heap buffer over-read in the NGINX worker process, leading to limited disclosure of memory or a restart. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.