CVE-2026-44373

ŚrednieCVSS 5.3

Opublikowano: 13/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Nitro to zestaw narzędzi serwerowych nowej generacji. W wersjach przed 3.0.260429-beta atakujący mógł obejść regułę trasy proxy, wysyłając w URL procentowo zakodowane przejście ścieżki (..%2f), powodując przekazanie przez Nitro żądania, które serwer nadrzędny rozwiązał poza skonfigurowanym zakresem.

Ocena ryzyka

Obejście reguł proxy może umożliwić dostęp do zasobów spoza dozwolonego zakresu, co stwarza ryzyko ujawnienia danych i nieautoryzowanego dostępu.

Rekomendacja

Zaktualizuj Nitro do wersji 3.0.260429-beta lub nowszej oraz zweryfikuj reguły tras proxy pod kątem kodowania ścieżek.

Inne podatności w Nitro

CVE-2026-44372Średnie
Nitro przed wersją 3.0.260429-beta pozwala atakującemu zamienić regułę przekierowania z użyciem wildcardów w przekierowanie międzyhostowe poprzez dodanie dodatkowego ukośnika po prefiksie reguły. Podatność została naprawiona w wersji 3.0.260429-beta.

Oryginalny opis (angielski, źródło NVD)

Nitro is a next generation server toolkit. Prior to 3.0.260429-beta, an attacker could bypass a proxy route rule by sending percent-encoded path traversal (..%2f) in the URL, causing Nitro to forward a request that the upstream resolved outside the configured scope. This vulnerability is fixed in 3.0.260429-beta.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS