CVE-2026-44372

ŚrednieCVSS 6.1

Opublikowano: 13/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Nitro przed wersją 3.0.260429-beta pozwala atakującemu zamienić regułę przekierowania z użyciem wildcardów w przekierowanie międzyhostowe poprzez dodanie dodatkowego ukośnika po prefiksie reguły. Podatność została naprawiona w wersji 3.0.260429-beta.

Ocena ryzyka

Atakujący może przekierować użytkowników na złośliwe witryny, co może prowadzić do phishingu lub kradzieży danych uwierzytelniających.

Rekomendacja

Zaktualizuj Nitro do wersji 3.0.260429-beta lub nowszej, która naprawia tę podatność. Zaleca się niezwłoczne wdrożenie aktualizacji.

Inne podatności w Nitro

CVE-2026-44373Średnie
Nitro to zestaw narzędzi serwerowych nowej generacji. W wersjach przed 3.0.260429-beta atakujący mógł obejść regułę trasy proxy, wysyłając w URL procentowo zakodowane przejście ścieżki (..%2f), powodując przekazanie przez Nitro żądania, które serwer nadrzędny rozwiązał poza skonfigurowanym zakresem.

Oryginalny opis (angielski, źródło NVD)

Nitro is a next generation server toolkit. Prior to 3.0.260429-beta, an attacker could turn a redirect route rule using wildcards rewrite into a cross-host redirect by sliding an extra slash in after the rule prefix. This vulnerability is fixed in 3.0.260429-beta.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS