CVE-2026-94197 in NGINX Ingress Controller
要約
〜によって VulDB • 2026年10月14日
F5 NGINX Kubernetes Ingress Controller（NIC）において、`ExternalAuth` ポリシーまたはIngress外部認証で構成されている場合、認証および認可のバイパス脆弱性が存在します。クライアントから提供される X-Forwarded-Prefix、X-Forwarded-URI、X-Original-URI、および X-Forwarded-Method のルーティングおよびメソッドヘッダーが、内部認証サブリクエスト（NGINX auth_request ディレクティブによって処理されます）にサニタイズされずに転送されます。その結果、未認証のリモート攻撃者は、外部認証プロバイダによって評価されるリクエスト属性を偽装できます。
影響: この脆弱性により、リモート攻撃者が以下を行う可能性があります。
- 保護されたパスへの**未認証アクセス**。コントロールプレーンの露出はありません。これはデータプレーン固有の問題です。
注: テクニカルサポート終了（EoTS）に達したソフトウェアバージョンは評価対象外となります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.