CVE-2026-97205

总结

NGINX Plus 和 NGINX 开源版在 ngx_http_core_module 模块中存在一个漏洞。当在特定配置下启用异步文件 I/O（AIO）时，处理包含“include virtual”命令的服务器端包含（SSI）页面可能会在 NGINX 工作进程中触发释放后使用（UAF）漏洞。这可能导致内存损坏或工作进程崩溃。此外，在禁用地址空间布局随机化（ASLR）的系统上，或攻击者能够绕过 ASLR 时，攻击者可以执行代码。影响：此漏洞可能允许远程攻击者在 NGINX 系统上造成拒绝服务（DoS）、损坏其内存，或可能触发代码执行。不存在控制平面暴露；这仅是数据平面问题。注意：已达到技术支持终止（EoTS）的软件版本不在评估范围内。

来源

• CVE-2026-97205信息

  一个静态 Hugo 站点，用于跟踪 nginx 1.30.6 和 1.31.7 中修复的 nginx 核心漏洞在各发行版中的补丁状态，包含 CVE ID、修复版本和上游提交。