CVE-2026-55723

WysokieCVSS 8.3

Opublikowano: 15/07/2026(UTC)Zaktualizowano: 16/07/2026(UTC)Przetłumaczono: 17/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W NGINX Ingress Controller wykryto podatność na wstrzykiwanie konfiguracji. Atakujący z uprawnieniami do tworzenia lub modyfikowania CRD lub adnotacji Ingress może wstrzyknąć dowolne dyrektywy konfiguracyjne NGINX.

Ocena ryzyka

Ryzyko obejmuje możliwość wstrzyknięcia złośliwych dyrektyw NGINX, tworzenia lub usuwania plików oraz wyłączania usług, co może prowadzić do naruszenia integralności i dostępności kontrolera.

Rekomendacja

Należy niezwłocznie zaktualizować NGINX Ingress Controller do najnowszej dostępnej wersji oraz ograniczyć uprawnienia do zarządzania CRD i adnotacjami Ingress tylko dla zaufanych użytkowników.

Inne podatności w NGINX Ingress Controller

CVE-2026-52865Średnie
Podatność w NGINX Ingress Controller pozwala uwierzytelnionemu atakującemu z uprawnieniami do tworzenia lub modyfikowania zasobów Ingress lub TransportServer na spowodowanie zakończenia procesu kontrolera. Prowadzi to do trwałego cyklu awarii, dopóki uszkodzony zasób pozostaje w klastrze.

Oryginalny opis (angielski, źródło NVD)

When NGINX Ingress Controller is configured with Custom Resource Definitions (CRDs) or Ingress annotations, an injection vulnerability exists in the configuration generator of NGINX Ingress Controller. Multiple user-controllable fields are written into the generated NGINX configuration without sanitization. An authenticated attacker with permission to create or modify these CRDs or annotations may craft values that inject arbitrary NGINX configuration directives. Impact: An authenticated attacker granted write access to NGINX Ingress Controller CRDs or Ingress annotations through the Kubernetes API may be able to inject arbitrary NGINX configuration directives, create or delete files, or disable services. There is no data plane exposure; this is a control plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.