CVE-2026-11311
Açıklama
NGINX Plus, NGINX Gateway Fabric için veri düzlemi olarak yapılandırıldığında, NGINX Gateway Fabric'in NGINX yapılandırma oluşturucu bileşeninde bir enjeksiyon zafiyeti bulunmaktadır. NginxProxy Custom Resource Definition serverTokens alanı ve AuthenticationFilter Custom Resource Definition extraAuthArgs alanından gelen kullanıcı tarafından sağlanan dize değerleri, herhangi bir temizleme veya kaçış işlemi uygulanmadan doğrudan NGINX yapılandırma şablonlarına aktarılmaktadır. Bu Custom Resource Definition'ları oluşturma veya değiştirme yetkisine sahip kimliği doğrulanmış bir saldırgan, rastgele NGINX yapılandırma direktiflerini enjekte eden değerler hazırlayabilir. Bu durum bir kontrol düzlemi sorunudur; zafiyet tetikleyicisinin kendisinden kaynaklanan bir veri düzlemi açığı bulunmamaktadır. Not: Teknik Destek Sonu (EoTS) aşamasına ulaşmış yazılım sürümleri değerlendirilmemiştir.
Nasıl düzeltilir
- f5 nginx_gateway_fabric2.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| f5 nginx_gateway_fabric | 2.5.0 ≤ v < 2.6.4 | 2.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.