CVE-2026-15176

Alta 8.1

Vulnerabilidad alta (CVSS 8.1) en Nginx. Publicada el 14 de octubre de 2026. Afecta a Debian 12 y Ubuntu 24.04. Corregida en Debian 13 (1.26.3-3+deb13u10), Debian 14 (1.30.4-8), Ubuntu 22.04 (1.18.0-6ubuntu14.22), Ubuntu 24.04 (1.24.0-2ubuntu7.19), Ubuntu 26.04 (1.28.3-2ubuntu1.12) y Ubuntu 26.10 (1.30.4-7ubuntu1.1). Sin parche todavía para Debian 12.

Descripción

A vulnerability exists in NGINX Plus and NGINX Open Source when a location is configured that uses the alias directive together with rewrite and a set or return directive referencing the $request_filename variable. Alternatively, the same result could be achieved when the $request_filename variable

Descripción original en inglés: todavía no se ha traducido.

Versiones que la corrigen

Distribución Versión del paquete
Debian 13 1.26.3-3+deb13u10
Debian 14 1.30.4-8
Ubuntu 22.04 1.18.0-6ubuntu14.22
Ubuntu 24.04 1.24.0-2ubuntu7.19
Ubuntu 26.04 1.28.3-2ubuntu1.12
Ubuntu 26.10 1.30.4-7ubuntu1.1

Avisos oficiales

Datos de OSV.dev, publicados bajo licencia CC BY 4.0. La severidad es la puntuación base CVSS 3.1 calculada a partir del vector publicado. Esta ficha se genera automáticamente y no sustituye al aviso oficial de tu distribución; así se elabora la lista.