CVE-2026-60065

Опубликовано: 15 июл. 2026

Источник: nvd

CVSS3: 3.7

CVSS3: 5.3

EPSS Низкий

Описание

Impact: This vulnerability may allow remote unauthenticated attackers to have limited control to restart the NGINX worker process. There is no control plane exposure; this is a data plane issue only.

Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Ссылки

https://my.f5.com/manage/s/article/K000162101
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:f5:nginx_gateway_fabric:*:*:*:*:*:*:*:*

Версия от 1.3.0 (включая) до 1.6.2 (включая)

cpe:2.3:a:f5:nginx_gateway_fabric:*:*:*:*:*:*:*:*

Версия от 2.0.0 (включая) до 2.6.7 (исключая)

cpe:2.3:a:f5:nginx_ingress_controller:*:*:*:*:continuous_releases:*:*:*

Версия от 3.5.0 (включая) до 3.7.2 (включая)

cpe:2.3:a:f5:nginx_ingress_controller:*:*:*:*:continuous_releases:*:*:*

Версия от 5.0.0 (включая) до 5.5.3 (исключая)

cpe:2.3:a:f5:nginx_ingress_controller:*:*:*:*:long-term_support:*:*:*

Версия от 2026-lts-r1 (включая) до 2026-lts-r4 (исключая)

cpe:2.3:a:f5:nginx_ingress_controller:4.0.0:*:*:*:continuous_releases:*:*:*

cpe:2.3:a:f5:nginx_ingress_controller:4.0.1:*:*:*:continuous_releases:*:*:*

cpe:2.3:a:f5:nginx_plus:*:*:*:*:*:*:*:*

Версия от 37.0.0.1 (включая) до 37.0.3.1 (исключая)

cpe:2.3:a:f5:nginx_plus:*:*:*:*:*:*:*:*

Версия от r33 (включая) до r36 (исключая)

cpe:2.3:a:f5:nginx_plus:r36:-:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_plus:r36:p1:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_plus:r36:p2:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_plus:r36:p3:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_plus:r36:p4:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_plus:r36:p5:*:*:*:*:*:*

cpe:2.3:a:f5:nginx_plus:r36:p6:*:*:*:*:*:*

cpe:2.3:a:f5:waf:*:*:*:*:*:nginx:*:*

Версия от 4.11.0 (включая) до 4.16.0 (включая)

cpe:2.3:a:f5:waf:*:*:*:*:*:nginx:*:*

Версия от 5.2.0 (включая) до 5.8.0 (включая)

cpe:2.3:a:f5:waf:*:*:*:*:*:nginx:*:*

Версия от 5.9.0 (включая) до 5.13.4 (исключая)

EPSS

Процентиль: 19%

0.00265

Низкий

3.7 Low

CVSS3

5.3 Medium

CVSS3

Дефекты

CWE-125

Связанные уязвимости

GHSA-w94h-5qpm-994v

CVSS3: 3.7

github

около 1 месяца назад

When NGINX Plus is configured to use the Message Queuing Telemetry Transport (MQTT) filter module (ngx_stream_mqtt_filter_module), unauthenticated attackers can send requests with conditions beyond the attacker's control to cause a heap buffer over-read in the NGINX worker process, leading to a restart. Impact: This vulnerability may allow remote unauthenticated attackers to have limited control to restart the NGINX worker process. There is no control plane exposure; this is a data plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

EPSS

Процентиль: 19%

0.00265

Низкий

3.7 Low

CVSS3

5.3 Medium

CVSS3

Дефекты

CWE-125