CVE-2026-93479

NGINX Plus və NGINX Open Source versiyalarında, map direktivi reqeks (regex) uyğunlaşdırmasından istifadə etdikdə və root direktivi və ya giriş loqunun (access log) formatı, map çıxış dəyişəninə istinad etməzdən əvvəl map-in reqeks tutma dəyişənlərinə istinad etdikdə zəiflik yaranır. Alternativ olaraq, müəyyən şərtlər daxilində sətir ifadəsində keşlənməyən dəyişəndən istifadə etməklə də eyni nəticə əldə edilə bilər. Autentifikasiya olunmamış hücumçu, özünün nəzarətindən kənar olan şərtlərlə birlikdə, xüsusi hazırlanmış HTTP sorğuları göndərməklə bu zəiflikdən istifadə edə bilər. Bu, NGINX işçi prosesində (worker process) heap bufer daşmasına səbəb ola və onun yenidən başladılmasına gətirib çıxara bilər. Əlavə olaraq, hücumçular Address Space Layout Randomization (ASLR) funksiyasının söndürüldüyü sistemlərdə və ya ASLR-dan yan keçə bildikləri hallarda kod icra edə bilərlər. Təsir: Bu zəiflik uzaqdakı hücumçuların NGINX sistemində xidmətdən imtina (DoS) halına səbəb olmasına və ya potensial olaraq kodun icrasını tətikləməsinə imkan verə bilər. İdarəetmə müstəvisinin (control plane) ifşası yoxdur; bu, yalnız məlumat müstəvisinə (data plane) aid problemdir. Qeyd: Texniki Dəstəyin Sonu (EoTS) mərhələsinə çatmış proqram versiyaları qiymətləndirilməmişdir.