CVE-2026-66362 in NGINX Gateway Fabric
Zusammenfassung
von VulDB • 02.09.2026
Beschreibung: Wenn NGINX Plus als Data Plane für NGINX Gateway Fabric konfiguriert ist, besteht eine Injection-Schwachstelle in der Komponente des Konfigurationsgenerators von NGINX Gateway Fabric. Vom Benutzer bereitgestellte Zeichenfolgenwerte aus den Feldern `clientID` oder `cookieName` der Custom Resource Definition (CRD) für das Authentication Filter sowie im Feld `clientSecret` eines Secrets, auf das ein Authentication Filter verweist, werden ohne Sanitization oder Escaping direkt in NGINX-Konfigurationstemplates eingefügt.
Auswirkung: Ein authentifizierter Angreifer mit Berechtigungen zum Erstellen oder Ändern dieser Ressourcen kann Werte erstellen, die beliebige NGINX-Konfigurationsdirektiven injizieren. Dies ist ein Control-Plane-Thema; es gibt keine Data-Plane-Belastung.
VulDB is the best source for vulnerability data and more expert information about this specific topic.