PT-2026-40648 · F5+4 · Nginx Plus+5

Publicado 2026-05-13 · Atualizado 2026-06-09 · CVE-2026-40460

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas NGINX Plus (versões afetadas não especificadas) NGINX Open Source (versões afetadas não especificadas)

Descrição Quando configurado para usar o módulo HTTP/3 QUIC, um invasor pode ser capaz de falsificar seu endereço IP de origem. Isso pode levar ao bypass de mecanismos de autorização ou de limitação de taxa (rate limiting).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

DoS

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

BDU:2026-06964

BIT-NGINX-2026-40460

BIT-NGINX-GATEWAY-2026-40460

CVE-2026-40460

ECHO-B094-3180-9B8A

OPENSUSE-SU-2026:10796-1

RHSA-2026:20351

USN-8354-1

Produtos afetados

Linuxmint

Nginx Open Source

Nginx Plus

Nginx

Red Os

Ubuntu

Referências · 37

• https://github.com/nginx/nginx/commit/5461e8bbc09230a4cf8e3d7737c176ae69b091f1 · Nota
• https://ubuntu.com/security/CVE-2026-42934 · Aviso do Fabricante
• https://my.f5.com/manage/s/article/K000161068 · Correção, Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-42946 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-42926 · Nota
• https://osv.dev/vulnerability/BIT-nginx-gateway-2026-40460 · Aviso do Fabricante
• https://twitter.com/vutruso/status/2055087204578591000 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-40460 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10796-1 · Aviso do Fabricante
• https://twitter.com/f1tym1/status/2055376247690059960 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-42934 · Nota
• https://suse.com/security/cve/CVE-2026-40460 · Nota
• https://ubuntu.com/security/CVE-2026-9256 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-40701 · Aviso do Fabricante
• https://docs.bell-sw.com/security/cves/CVE-2026-40460 · Nota