CVE-2026-97205
NGINX ngx_http_core_module भेद्यता
- प्रकाशित
- 14 अक्टू॰ 2026
- अद्यतन
- 15 अक्टू॰ 2026
- सीएनए असाइन करना
- f5
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 57.8%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
NGINX Plus और NGINX Open Source में ngx_http_core_module मॉड्यूल में एक भेद्यता है। जब कुछ कॉन्फ़िगरेशन में असिंक्रोनस फ़ाइल I/O (AIO) सक्षम होता है, तो "include virtual" कमांड वाले Server Side Includes (SSI) पेज को प्रोसेस करने पर NGINX वर्कर प्रोसेस में Use-After-Free (UAF) ट्रिगर हो सकता है। इससे मेमोरी करप्शन या वर्कर प्रोसेस क्रैश हो सकता है। इसके अतिरिक्त, हमलावर उन सिस्टम पर कोड निष्पादित कर सकते हैं जहाँ Address Space Layout Randomization (ASLR) अक्षम है या जब हमलावर ASLR को बायपास कर सकता है। प्रभाव: यह भेद्यता रिमोट हमलावरों को NGINX सिस्टम पर डिनायल-ऑफ-सर्विस (DoS) उत्पन्न करने, उसकी मेमोरी को करप्ट करने, या संभवतः कोड निष्पादन ट्रिगर करने की अनुमति दे सकती है। कोई कंट्रोल प्लेन एक्सपोज़र नहीं है; यह केवल एक डेटा प्लेन समस्या है। नोट: जिन सॉफ़्टवेयर संस्करणों का End of Technical Support (EoTS) हो चुका है, उनका मूल्यांकन नहीं किया जाता है।
स्रोत
- CVE-2026-97205जानकारीपूर्ण
nginx 1.30.6 और 1.31.7 में ठीक किए गए nginx कोर कमज़ोरियों के लिए प्रति-वितरण पैच स्थिति को ट्रैक करने वाली स्टैटिक Hugo साइट, जिसमें CVE ID, ठीक किए गए संस्करण और अपस्ट्रीम कमिट शामिल हैं।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।