CVE-2026-27654

Esta é a primeira análise da CVE-2026-27654 em português. A vulnerabilidade consiste em um estouro de buffer no heap (CWE-122) no módulo ngx_http_dav_module do servidor web NGINX. Ela ocorre devido a um underflow de size_t durante o processamento de requisições WebDAV MOVE e COPY.

Estrutura do repositório

• CVE-2026-27654.pdf — análise da vulnerabilidade
• ploit.py — exemplo de PoC
• SETUP.md — instruções para configuração do ambiente de pesquisa

Aviso legal

Este repositório tem caráter exclusivamente educacional e de pesquisa.

• Os materiais abordam a vulnerabilidade CVE-2026-27654, divulgada publicamente e já corrigida. As informações sobre a vulnerabilidade foram publicadas oficialmente no NVD, no GitHub Advisory Database e no advisory da F5 (K000160382); a correção está disponível no NGINX a partir da versão 1.29.7.
• O repositório contém uma análise (writeup) da vulnerabilidade e materiais didáticos. Ele não se destina a ataques contra sistemas de terceiros e não contém ferramentas para realizá-los.
• Quaisquer exemplos de código são fornecidos para análise e reprodução em um ambiente de laboratório isolado, do qual você seja proprietário ou para cujo uso você tenha autorização expressa por escrito.
• O autor não se responsabiliza por qualquer dano ou ação ilegal realizada com o uso dos materiais apresentados. Toda a responsabilidade pela aplicação das informações recai sobre o usuário.
• O uso dos materiais implica concordância de que você age em conformidade com a legislação da sua jurisdição e com os princípios de divulgação responsável (responsible disclosure).