CVE-2026-66362 in NGINX Gateway Fabric
الملخص
بحسب VulDB • 02/09/2026
الوصف: عند تكوين NGINX Plus كـ "مستوى البيانات" (data plane) لـ NGINX Gateway Fabric، توجد ثغرة حقن في مكون مولّد إعدادات NGINX الخاص بـ NGINX Gateway Fabric. يتم عرض قيم السلاسل التي يقدمها المستخدم من حقلي `clientID` أو `cookieName` في تعريف الموارد المخصص (Custom Resource Definition) الخاص بفلتر المصادقة، أو في حقل `clientSecret` لسرّ (Secret) يُشار إليه بواسطة فلتر مصادقة، مباشرةً داخل قوالب إعدادات NGINX دون أي عملية تنقية أو هروب (escaping).
الأثر: قد يتمكن مهاجم مُصرح له بإنشاء أو تعديل هذه الموارد من صياغة قيم تقوم بحقن توجيهات (directives) عشوائية لإعدادات NGINX. تُعد هذه مشكلة تتعلق بـ "مستوى التحكم" (control plane)، ولا يوجد أي تعرض لـ "مستوى البيانات" (data plane).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.