Krytyczny Oczekuje na analizę

CVE-2026-97205

opublikowano: 14.10.2026, 17:17

modyfikacja: 15.10.2026, 13:18

Ocena CVSS

9.2

Krytyczny · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

NGINX Plus i NGINX Open Source mają lukę w module ngx_http_core_module. Gdy w niektórych konfiguracjach włączone jest asynchroniczne we/wy plików (AIO), przetwarzanie strony zawierającej po stronie serwera (SSI) zawierającej polecenia „włącz wirtualne” może wyzwolić funkcję UAF (Use-After-Free) w procesie roboczym NGINX. Może to spowodować uszkodzenie pamięci lub awarię procesu roboczego. Ponadto osoby atakujące mogą wykonać kod w systemach z wyłączoną randomizacją układu przestrzeni adresowej (ASLR) lub gdy osoba atakująca może ominąć ASLR.

Wpływ:
Luka ta może umożliwić zdalnym atakującym wywołanie odmowy usługi (DoS) w systemie NGINX, uszkodzenie jego pamięci lub ewentualnie uruchomienie wykonania kodu. Nie ma ekspozycji na płaszczyznę kontrolną; jest to wyłącznie problem płaszczyzny danych.

Uwaga: Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.

>_ Słabości (CWE)

CWE-416

>_ Referencje

https://my.f5.com/manage/s/article/K000162608

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve