CVE-2026-97205 in Plus
Tóm tắt
Bởi VulDB • 15/10/2026
NGINX Plus và NGINX Open Source có một lỗ hổng trong module ngx_http_core_module. Khi I/O tập tin bất đồng bộ (AIO) được bật trong các cấu hình nhất định, việc xử lý trang Server Side Includes (SSI) chứa các lệnh “include virtual” có thể kích hoạt lỗi Use-After-Free (UAF) trong tiến trình worker của NGINX. Điều này có thể gây ra hỏng hóc bộ nhớ hoặc làm sập tiến trình worker. Ngoài ra, kẻ tấn công có thể thực thi mã trên các hệ thống mà Address Space Layout Randomization (ASLR) bị vô hiệu hóa hoặc khi kẻ tấn công có thể vượt qua ASLR.
Tác động: Lỗ hổng này có thể cho phép kẻ tấn công từ xa gây ra tình trạng từ chối dịch vụ (DoS) đối với hệ thống NGINX, làm hỏng bộ nhớ của nó, hoặc khả năng cao là kích hoạt việc thực thi mã. Không có rủi ro liên quan đến mặt phẳng điều khiển; đây chỉ là vấn đề thuộc mặt phẳng dữ liệu.
Lưu ý: Các phiên bản phần mềm đã đạt trạng thái Hết Hỗ trợ Kỹ thuật (EoTS) sẽ không được đánh giá.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.