CVE-2026-3288
ingress-nginx inyección de configuración de nginx en rewrite-target
- Publicado
- 9 mar 2026
- Actualizado
- 30 abr 2026
- Asignación de CNA
- kubernetes
- Evidencia observada
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 53,4 %
- Fecha del modelo
- 13 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se descubrió un problema de seguridad en ingress-nginx donde la anotación Ingress 'nginx.ingress.kubernetes.io/rewrite-target' puede usarse para inyectar configuración en nginx. Esto puede llevar a la ejecución de código arbitrario en el contexto del controlador ingress-nginx y a la divulgación de Secrets accesibles para el controlador. (Tenga en cuenta que, en la instalación predeterminada, el controlador puede acceder a todos los Secrets de todo el clúster).
Fuentes
# Laboratorio vulnerable basado en Docker para CVE-2026-3288, inyección de configuración en NGINX Ingress, con scripts de explotación, monitoreo de detección y guía de remediación para formación de seguridad autorizada.
- CVE-2026-3288Investigación
Guía detallada: Inyección de configuración en ingress-nginx mediante la anotación rewrite-target
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.