PT-2026-6670 · Kubernetes+1 · Ingress-Nginx+1

Jan-Otto Kröpke · CVE-2025-15566 · Publicado 2026-02-06 · Atualizado 2026-03-10

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas ingress-nginx (versões afetadas não especificadas)

Descrição Existe uma vulnerabilidade de segurança no ingress-nginx na qual a anotação nginx.ingress.kubernetes.io/auth-proxy-set-headers pode ser utilizada para injetar configurações no nginx. Isso pode resultar em execução de código arbitrário no contexto do controlador ingress-nginx e possível divulgação de Secrets acessíveis ao controlador. Em uma instalação padrão, o controlador tem acesso a todos os Secrets em todo o cluster. A anotação https://t.co/5vaSyCfUF2 também está envolvida nesse problema.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

DoS

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

BDU:2026-03604

BIT-NGINX-INGRESS-CONTROLLER-2025-15566

CVE-2025-15566

Produtos afetados

Red Os

Ingress-Nginx

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/15xxx/CVE-2025-15566.json · Exploit
• https://github.com/kubernetes/kubernetes/issues/136789 · Nota
• https://github.com/kubernetes/ingress-nginx · Nota
• https://twitter.com/nanovms/status/2019804328022966565 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1qyb0pu/top_10_trending_cves_07022026 · Publicação no Reddit
• https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2025-15566 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-15566 · Nota de Segurança
• https://reddit.com/r/CVEWatch/comments/1qz67mk/top_10_trending_cves_08022026 · Publicação no Reddit
• https://reddit.com/r/CVEWatch/comments/1r01b8s/top_10_trending_cves_09022026 · Publicação no Reddit
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-golang-k8s-ingress-nginx-cve-2025-15566-7.3 · Nota
• https://osv.dev/vulnerability/CVE-2025-15566 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2019618720109428834 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2019664494041960900 · Publicação no Twitter
• https://twitter.com/vuln_tracker/status/2020009172805550192 · Publicação no Twitter
• https://t.me/CVEtracker/43888 · Publicação no Telegram