CVE-2026-66362 in NGINX Gateway Fabric
Resumen
por VulDB • 2026-09-02
Descripción: Cuando NGINX Plus está configurado como el plano de datos (data plane) para NGINX Gateway Fabric, existe una vulnerabilidad de inyección en el componente generador de configuración de NGINX de NGINX Gateway Fabric. Los valores de cadena proporcionados por el usuario procedentes de los campos `clientID` o `cookieName` del Custom Resource Definition (CRD) Authentication Filter, o en el campo `clientSecret` de un Secret referenciado por un Authentication Filter, se insertan directamente en las plantillas de configuración de NGINX sin sanitización ni escape.
Impacto: Un atacante autenticado con permisos para crear o modificar estos recursos puede elaborar valores que inyecten directivas de configuración arbitrarias de NGINX. Se trata de una vulnerabilidad del plano de control (control plane); no hay exposición en el plano de datos (data plane).
If you want to get best quality of vulnerability data, you may have to visit VulDB.