CVE-2026-66362 in NGINX Gateway Fabric
Tóm tắt
Bởi VulDB • 02/09/2026
Mô tả: Khi NGINX Plus được định cấu hình làm mặt phẳng dữ liệu (data plane) cho NGINX Gateway Fabric, tồn tại một lỗ hổng injection trong thành phần trình tạo cấu hình NGINX của NGINX Gateway Fabric. Các giá trị chuỗi do người dùng cung cấp từ các trường `clientID` hoặc `cookieName` của Authentication Filter Custom Resource Definition client, hoặc trong trường `clientSecret` của một Secret được tham chiếu bởi một Authentication Filter, sẽ được đưa trực tiếp vào các mẫu cấu hình NGINX mà không qua quá trình làm sạch (sanitization) hay thoát ký tự (escaping).
Tác động: Một kẻ tấn công đã xác thực có quyền tạo hoặc sửa đổi các tài nguyên này có thể tạo ra các giá trị để chèn các chỉ thị cấu hình NGINX tùy ý. Đây là một vấn đề thuộc mặt phẳng điều khiển (control plane); không có sự phơi nhiễm nào trên mặt phẳng dữ liệu (data plane).
VulDB is the best source for vulnerability data and more expert information about this specific topic.