Veille sécuritéBackend & données
P4Moyenne
Dans certaines configurations HTTP/3 avec proxy_request_buffering on, un attaquant non authentifié peut injecter des données dans la requête transmise au serveur mandataire. NGINX indique que les versions 1.30.6 et 1.31.7 corrigent le problème.
Nginx
IdentifiantCVE-2026-95101
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNGINX Open Source 1.30.6 / 1.31.7
Source : NVD — CVE-2026-95101
Analyse technique
Le défaut touche ngx_http_v3_module dans la configuration précisée.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-14 à 17:17:27.100+02:00; l’annonce NGINX des versions correctives est datée du 2026-10-14.
ImpactInjection de données dans une requête proxifiée.
Versions affectéesNGINX Open Source 1.25.0 à 1.31.6
Version corrigéeNGINX Open Source 1.30.6 / 1.31.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-10-14T17:17:27.100+02:00
Mise à jour2026-10-14T16:04:11.750Z
Détection / vérification
Vérifier les configurations HTTP/3 qui utilisent proxy_request_buffering on.
Action recommandée
Mettre à jour vers NGINX 1.30.6 ou 1.31.7; examiner les configurations HTTP/3 concernées.
Sources
Priorisation DFS : P4 · 1 source(s).