CVE-2026-97205
ثغرة NGINX ngx_http_core_module
- تم النشر
- 14/10/2026
- محدث
- 15/10/2026
- تخصيص CNA
- f5
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 57.8%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تحتوي NGINX Plus وNGINX Open Source على ثغرة أمنية في وحدة ngx_http_core_module. عند تمكين الإدخال/الإخراج غير المتزامن للملفات (AIO) في تكوينات معينة، قد تؤدي معالجة صفحة Server Side Includes (SSI) تحتوي على أوامر "include virtual" إلى استخدام بعد التحرير (UAF) في عملية عامل NGINX. قد يتسبب ذلك في تلف الذاكرة أو تعطل عملية العامل. بالإضافة إلى ذلك، يمكن للمهاجمين تنفيذ تعليمات برمجية على الأنظمة التي تكون فيها عشوائية تخطيط مساحة العنوان (ASLR) معطلة أو عندما يتمكن المهاجم من تجاوز ASLR. التأثير: قد تسمح هذه الثغرة الأمنية للمهاجمين عن بُعد بالتسبب في حجب الخدمة (DoS) على نظام NGINX، أو إتلاف ذاكرته، أو ربما تحفيز تنفيذ التعليمات البرمجية. لا يوجد تعرض لمستوى التحكم؛ هذه مشكلة في مستوى البيانات فقط. ملاحظة: لا يتم تقييم إصدارات البرامج التي وصلت إلى نهاية الدعم الفني (EoTS).
المصادر
- CVE-2026-97205إعلامية
موقع Hugo ثابت يتتبّع حالة الترقيع لكل توزيعة فيما يخص ثغرات نواة nginx التي تم إصلاحها في nginx 1.30.6 و1.31.7، مع معرّفات CVE والإصدارات المُصلحة وعمليات الالتزام (commits) في المنبع.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.