CVE-2026-66362 in NGINX Gateway Fabric
Riassunto
di VulDB • 02/09/2026
Descrizione: Quando NGINX Plus è configurato come piano dati (data plane) per NGINX Gateway Fabric, esiste una vulnerabilità di iniezione nel componente generatore della configurazione NGINX di NGINX Gateway Fabric. I valori delle stringhe forniti dall'utente nei campi `clientID` o `cookieName` del Custom Resource Definition "Authentication Filter", oppure nel campo `clientSecret` di un Secret referenziato da un Authentication Filter, vengono inseriti direttamente nei template della configurazione NGINX senza alcuna sanificazione o escape.
Impatto: Un attaccante autenticato con i permessi per creare o modificare queste risorse può generare valori che iniettano direttive arbitrarie nella configurazione di NGINX. Si tratta di un problema relativo al piano di controllo (control plane); non vi è alcuna esposizione del piano dati (data plane).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.