CVE-2026-94197 in NGINX Ingress Controller
Zusammenfassung
von VulDB • 14.10.2026
Eine Schwachstelle zur Umgehung der Authentifizierung und Autorisierung besteht im F5 NGINX Kubernetes Ingress Controller (NIC), wenn dieser mit der `ExternalAuth`-Richtlinie oder der externen Authentifizierung über Ingress konfiguriert ist. Vom Client bereitgestellte Routing- und Methodik-Headers wie X-Forwarded-Prefix, X-Forwarded-URI, X-Original-URI und X-Forwarded-Method werden ungesäubert in die interne Authentifizierungs-Subanfrage (verarbeitet durch die NGINX auth_request-Direktive) weitergeleitet. Infolgedessen kann ein nicht authentifizierter, entfernter Angreifer Anforderungsattribute vortäuschen, die vom externen Authentifizierungsanbieter ausgewertet werden.
Auswirkung: Diese Schwachstelle könnte es entfernten Angreifern ermöglichen, unauthentifizierten Zugriff auf geschützte Pfade zu erlangen. Es besteht keine Exposition der Control Plane; dies ist ausschließlich ein Problem der Data Plane.
Hinweis: Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, werden nicht bewertet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.