CVE-2026-27654 затрагивает nginx только при включённом модуле WebDAV и конфигурации с директивой alias. Из-за ошибки в расчёте длины пути сервер позволяет выйти за пределы изолированного каталога и обратиться к файлам, доступным процессу.
Claude первой зафиксировала переполнение буфера и воспроизвела сбой сервера — уязвимость считалась подтверждённой. Однако превратить падение в практичную атаку смогли только люди: они нашли способ копировать системные файлы через операцию COPY, используя двойные слэши в пути.
Патч вышел в версии 1.29.7 в марте 2026 года. В тот же день автоматическая система анализа изменений самостоятельно собрала рабочий пример атаки по опубликованному исправлению – времени на обновление у администраторов не осталось.
Claude первой зафиксировала переполнение буфера и воспроизвела сбой сервера — уязвимость считалась подтверждённой. Однако превратить падение в практичную атаку смогли только люди: они нашли способ копировать системные файлы через операцию COPY, используя двойные слэши в пути.
Патч вышел в версии 1.29.7 в марте 2026 года. В тот же день автоматическая система анализа изменений самостоятельно собрала рабочий пример атаки по опубликованному исправлению – времени на обновление у администраторов не осталось.