CVE-2026-4342

highPriorität · beachten · 45EPSS 0.006 · 49. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

0.63% (49th) EPSS

CVSS 8.8 · high

Is it mine?

17 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-23

A security issue was discovered in ingress-nginx where a combination of Ingress annotations can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 5.9

v3.18.8highAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hsecondary · jordan@liggitt.netAusnutzbarkeit 2.8 · Auswirkung 5.9

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v3.18.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-20USCWE-20USCWE-20US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

stuartMoorhouse/CVE-2026-4342stuartMoorhouse/CVE-2026-4342PoC · poc_in_github

betroffene Produkte (17)

Betroffene Produkte und Versionsbereiche.

Open Source Kubernetes ingress-nginx <1.13.9alle Versionencert_bundDE
Open Source Kubernetes ingress-nginx <1.14.5alle Versionencert_bundDE
Open Source Kubernetes ingress-nginx <1.15.1alle Versionencert_bundDE
Open Source Kubernetes≤ ingress-nginx <1.14.5cert_bundDE
Open Source Kubernetes≤ ingress-nginx <1.13.9cert_bundDE
Open Source Kubernetes≤ ingress-nginx <1.15.1cert_bundDE
Kubernetes ingress-nginx0 → 1.13.9enisa_euvdEU
Kubernetes ingress-nginx0 → 1.14.5enisa_euvdEU
Kubernetes ingress-nginx0 → 1.15.1enisa_euvdEU
The Kubernetes Authors ingress-nginx≤ 1.15.1fstec_bduRU
The Kubernetes Authors ingress-nginx≤ 1.14.5fstec_bduRU
The Kubernetes Authors ingress-nginx≤ 1.13.9fstec_bduRU
ООО «Ред Софт» РЕД ОС≤ 8.0fstec_bduRU
kubernetes nginx ingress controller< 1.13.9nvdUScpe:2.3:a:kubernetes:nginx_ingress_controller:*:*:*:*:*:*:*:*
kubernetes nginx ingress controller1.14.0 → 1.14.5nvdUScpe:2.3:a:kubernetes:nginx_ingress_controller:*:*:*:*:*:*:*:*
kubernetes nginx ingress controller= 1.15.0nvdUScpe:2.3:a:kubernetes:nginx_ingress_controller:*:*:*:*:*:*:*:*
Go k8s.io/ingress-nginx< 0.0.0-20260319175635-5183b7d86137osvUSpkg:golang/k8s.io/ingress-nginx

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-0801Kubernetes (ingress-nginx): Schwachstelle ermöglicht Ausführen von beliebigem Programmcode und die Offenlegung von InformationenDeutsch2026-03-19csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Kubernetes (ingress-nginx) ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen und vertrauliche Informationen offenzulegen.
GHSA-f53h-mxv9-cp98ingress-nginx comment-based nginx configuration injection2026-03-20ghsa · osvUS
A security issue was discovered in ingress-nginx where a combination of Ingress annotations can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller. (Note that in the default installation, the controller can access all Secrets cluster-wide.)
GO-2026-4796ingress-nginx comment-based nginx configuration injection in k8s.io/ingress-nginx2026-03-23vendor · osvUS
ingress-nginx comment-based nginx configuration injection in k8s.io/ingress-nginx

auch bekannt als (5)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2026-03-19geändert 2026-06-17

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

http://www.openwall.com/lists/oss-security/2026/03/19/9 cnnvd
https://github.com/kubernetes/kubernetes/issues/137893 cnnvd
https://kubernetes.io/Patchcnnvd
https://github.com/kubernetes/kubernetes/issues/137893 enisa_euvd
http://www.openwall.com/lists/oss-security/2026/03/19/9Mailing ListThird Party Advisorynvd
https://github.com/kubernetes/kubernetes/issues/137893Issue Trackingnvd

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan