Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je kvôli pretečeniu bufferu v module pre WebDAV (ngx_http_dav_module) zaslaním špeciálne upraveného reťazca umožnené vykonať útok DoS na NGINX alebo modifikovať názvy súborov, ku ktorým má worker proces NGINX prístup. Zraniteľné sú konfigurácie s povoleným modulom DAV s metódami MOVE alebo COPY, využívajúce prefix location a direktívu alias. Podrobné informácie vrátane pokynov na dočasnú mitigáciu nájdete na [2].

Zraniteľnosť sa nachádza v produktoch:

• NGINX Plus; >=R32, <R32 P5; >=R33, <R35 P2; >=R36, <R36 P3;
• NGINX Open Source; >=0.5.13, <=0.9.7; >=1.0.0, <1.28.3; >=1.29, <1.29.7;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2026-27654 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 3. 2026.

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené na inštancie s aktívnym modulom ngx_mail_auth_http_module vykonať útok DoS. Systém je zraniteľný, ak využíva CRAM-MD5 alebo APOP ako metódy overenia a ak autentizačný server povolí opakovanie požiadavky prostredníctvom hlavičky Auth-Wait [3].

Zraniteľnosť sa nachádza v produktoch:

• NGINX Plus; >=R32, <R32 P5; >=R33, <R35 P2; >=R36, <R36 P3;
• NGINX Open Source; >=0.5.15, <=0.9.7; >=1.0.0, <1.28.3; >=1.29, <1.29.7;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2026-27651 na cve.org, NVD
• CWE-476: NULL Pointer Dereference na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 3. 2026.

Autentizovanému lokálnemu útočníkovi je pomocou špeciálne vytvoreného MP4 súboru za určitých podmienok umožnené vykonať útok DoS na systém NGINX s aktívnym modulom ngx_http_mp4_module alebo potenciálne spustiť kód. Zraniteľné sú iba inštancie, ktoré majú v konfigurácii aktívnu direktívu mp4 a pri ktorých útočník dokáže vynútiť spracovanie daného súboru [4]. Podobná zraniteľnosť (CVE-2026-27784) postihuje špecificky 32-bitové implementácie systému NGINX Open Source [5]. Podrobné informácie vrátane pokynov na dočasnú mitigáciu nájdete na [4][5].

Zraniteľnosť sa nachádza v produktoch:

• NGINX Plus; >=R32, <R32 P5; >=R33, <R35 P2; >=R36, <R36 P3;
• NGINX Open Source; >=1.1.19, <1.28.3; >=1.29, <1.29.7;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2026-32647 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 3. 2026.