Безопасность1 ч27 октября 2026, 16:41

NGINX закрыла CVE-2026-95101: контрабанда запросов через HTTP/3

В NGINX 1.30.6 и 1.31.7 исправлена уязвимость CVE-2026-95101 с оценкой 6.9: из-за общего счётчика при разборе неизвестных QUIC-кадров клиент HTTP/3 мог добавить лишние байты в проксируемый запрос или превысить client_max_body_size. Затронуты версии 1.25.0–1.31.6 с включённым HTTP/3 и включённой по умолчанию буферизацией proxy_request_buffering.

DEV Community

Открыть источник

NGINX закрыла CVE-2026-95101: контрабанда запросов через HTTP/3

CVE-2026-95101 получила оценку 6.9 по шкале F5
Уязвимы NGINX 1.25.0–1.31.6 при включённом HTTP/3
Нужны listen с quic и proxy_request_buffering on
Обходной путь — proxy_request_buffering off или отключение HTTP/3

#NGINX#F5

Ещё новости — в режиме свайпа🔥 Сейчас в свайпе: Anthropic выходит на биржу с оценкой до $2 трлн — это больше, чем у большинства стран

Безопасность

NGINX закрыла CVE-2026-95101: контрабанда запросов через HTTP/3

Пять уязвимостей NGINX: 313 млн хостов в индексе, но CVE-запрос даёт ноль

F5 и Juniper закрыли критические уязвимости с риском RCE

CVE-2026-29057: контрабанда HTTP-запросов через rewrites в Next.js

NGINX оценила три октябрьских бага как medium, а F5 дала им CVSS 9.2