Иногда смотришь на уязвимости и думаешь — ну ладно, бывает, сложная логика, хитрый баг. А иногда читаешь CVE и просто улыбаешься. Потому что это не «хакерская магия», а обычная человеческая расслабленность. В Nginx UI нашли CVE-2026-27944. Там есть эндпоинт /api/backup, который отдает бэкап конфигурации. И всё бы ничего, но авторизацию на него почему-то решили не вешать. Но самое красивое даже не это. В ответе вместе с архивом прилетает ключ для расшифровки этого самого бэкапа. Прямо в заголовке. То есть система буквально говорит: держи конфиг, держи ключ, пользуйся на здоровье. Мы с вами понимаем, что обычно лежит в таких бэкапах...

Обнаружены четыре уязвимости безопасности в Ingress NGINX для Kubernetes. Две из них серьезны (CVSS 8.8), включая CVE-2026-1580 (некорректная валидация ввода) и CVE-2026-24512 (внедрение конфигурации). Уязвимости затрагивают старые версии и требуют обновления. Поддержка Ingress NGINX прекращается в марте. — csoonline.com Обнаружены четыре уязвимости безопасности в контроллере трафика с открытым исходным кодом Ingress NGINX, который широко используется организациями в развертываниях Kubernetes. Исправить их можно только обновлением до последней версии...