CVE-2026-97205 in Plus
要約
〜によって VulDB • 2026年10月14日
NGINX PlusおよびNGINX Open Sourceには、ngx_http_core_moduleモジュールに脆弱性があります。特定の構成で非同期ファイルI/O（AIO）が有効になっている場合、「include virtual」コマンドを含むServer Side Includes (SSI)ページを処理すると、NGINXワーカープロセス内でUse-After-Free (UAF)が発生する可能性があります。これにより、メモリ破損またはワーカープロセスのクラッシュを引き起こすことがあります。さらに、攻撃者はAddress Space Layout Randomization (ASLR)が無効になっているシステムや、ASLRを回避できる場合にコードを実行できます。
影響: この脆弱性により、リモート攻撃者がNGINXシステムでサービス拒否（DoS）を引き起こしたり、メモリを破損させたり、あるいはコードの実行をトリガーすることが可能です。コントロールプレーンの露出はありません。これはデータプレーン固有の問題です。
注記：技術的サポート終了（EoTS）に達したソフトウェアバージョンは評価されません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.