Vulnerability in Denji Ngx Cache Purge
CVSS Skor
3.6
EPSS İhtimal
%0.1
Risk Skoru
0.0
Yayın
17 sa önce
Kanıt listesindeki ürün ve sürüm eşleşmesini kontrol edin; bazı varyantlar hâlâ etkileniyor olabilir.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
1
Kaynak uyumu
Tam uyum
Kanıt güveni
%55
Kısa açıklama
Denji ngx_cache_purge bileşenindeki zafiyet, nginx ve sunulan bir uygulamanın aynı kullanıcı hesabı altında çalışması durumunda sembolik bağlantı saldırıları yoluyla dosya silinmesine izin verebilir.
Yetkili yerel saldırganlar, önbellek yolu içinde sembolik bağlantılar oluşturarak dosya bütünlüğünü ve kullanılabilirliğini etkileyebilir.
Ne yapılmalı?
- Sürüm 3.0.4 veya sonraki sürümlere güncelleyin
- Satıcı duyurularını ve yama referanslarını takip edin
Kanıt zinciri ve kaynaklar
ngx_cache_purge 3.0.4 öncesi sürümler, belirli durumlarda sembolik bağlantı saldırısı yoluyla dosya silinmesine izin verebilir.
Modül temizleme işlemleri sırasında önbellek dizin ağacında gezinirken sembolik bağlantıları takip eder.
Kaynaklardaki teknik metni göster
ngx_cache_purge before 3.0.4 can allow file deletion via a symlink attack in certain situations where nginx and a served application (e.g., WordPress) run under the same user account. The attacker must be able to create a symlink inside the cache path. Version 3.0.4 fixes this for the case of a symlink created at an arbitrary earlier time, but does not resolve an applicable TOCTOU race condition. (The ngx_cache_purge module follows symlinks while walking the cache directory tree during purge operations. The module relies on nginx's ngx_walk_tree(), which relies on stat() and therefore follows symlinks.)
CVSS vektörü: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:L
CWE: CWE-61
Açıklama yerel gemini-flash-lite-latest modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-108981 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 3.6 | CVSS V31 | LOW | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:L | NVD |
| 3.6 | CVSS V3_1 | LOW | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:L | CVE CNA |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
4 düzeltme kanıtı bulundu; en az 4 ürün veya sürüm hâlâ etkileniyor ya da inceleniyor.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-108981 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-108981 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Improper input validation in Apache Log4j
Improper access control in N/a
Vulnerability in Apache Tomcat
Path traversal in N/a
Vulnerability in GNU Inetutils
Vulnerability in N/a
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.enginteksut.com.tr/api/v1/intel/cves/CVE-2026-108981"