Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-11308

Опубликовано: 15 июл. 2026
Источник: fstec
CVSS3: 6.4
CVSS2: 5.5
EPSS Низкий

Описание

Уязвимость директивы config_dirs демона NGINX Agent и платформы автоматизации NGINX Instance Manager связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ на чтение и запись произвольных файлов

Вендор

NGINX Inc.

Наименование ПО

NGINX Agent
NGINX Instance Manager

Версия ПО

от 2.37.0 до 2.47.0 (NGINX Agent)
от 2.17.1 до 2.22.1 включительно (NGINX Instance Manager)

Тип ПО

Прикладное ПО информационных систем
Сетевое средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,4)
Средний уровень опасности (оценка CVSS 4.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://my.f5.com/manage/s/article/K000161971

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 10%
0.00201
Низкий

6.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.4
nvd
около 1 месяца назад

The NGINX Agent config_dirs directive allows a low-privileged attacker to gain limited read and write access to files outside of the designated secure directory. The config_dirs directive required for this issue can also be configured through NGINX Instance Manager. A successful exploit may allow an attacker to cross a security boundary. Impact: A remotely authenticated low-privileged attacker could gain limited read and write access outside of the list of directories specified in the NGINX Agent configuration. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

CVSS3: 6.4
github
около 1 месяца назад

The NGINX Agent config_dirs directive allows a low-privileged attacker to gain limited read and write access to files outside of the designated secure directory. The config_dirs directive required for this issue can also be configured through NGINX Instance Manager. A successful exploit may allow an attacker to cross a security boundary. Impact: A remotely authenticated low-privileged attacker could gain limited read and write access outside of the list of directories specified in the NGINX Agent configuration. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

EPSS

Процентиль: 10%
0.00201
Низкий

6.4 Medium

CVSS3

5.5 Medium

CVSS2