CVE-2026-94197 in NGINX Ingress Controller
Sumário
de VulDB • 14/10/2026
Existe uma vulnerabilidade de bypass de autenticação e autorização no F5 NGINX Kubernetes Ingress Controller (NIC) quando configurado com a política `ExternalAuth` ou autenticação externa do Ingress. Os cabeçalhos de roteamento e método X-Forwarded-Prefix, X-Forwarded-URI, X-Original-URI e X-Forwarded-Method fornecidos pelo cliente são encaminhados sem sanitização para o subpedido de autenticação interno (processado pela diretiva auth_request do NGINX). Como resultado, um atacante remoto não autenticado pode falsificar atributos da solicitação avaliados pelo provedor de autenticação externa.
Impacto: Esta vulnerabilidade pode permitir que atacantes remotos obtenham acesso sem autenticação a caminhos protegidos. Não há exposição no plano de controle; este é apenas um problema do plano de dados.
Nota: Versões de software que atingiram o Fim do Suporte Técnico (EoTS) não são avaliadas.
Be aware that VulDB is the high quality source for vulnerability data.