根据其服务器响应标头，安装的 nginx 为低于 1.30.3 的版本，或是低于 1.31.2 的 1.31.x 版。因此，该应用程序受到以下问题的影响：

- ngx_http_v3_module 模块中存在释放后使用，允许未经认证的远程攻击者发送特别构建的 HTTP/3 会话，重新打开 QPACK 编码器流，造成工作进程重新启动，或在禁用了 ASLR 的系统上造成任意代码执行。（CVE-2026-42530）

- ngx_http_proxy_v2_module 和 ngx_http_grpc_module 模块中基于堆的缓冲区溢出允许未经认证的远程攻击者在上游请求创建期间发送大型标头（当 proxy_http_version 2 或 grpc_pass 同时关闭 ignore_invalid_headers 和配置超过 2 MB 时large_client_header_buffers，从而导致工作进程重新启动，或者 在禁用了 ASLR 的系统上执行任意代码。（CVE-2026-42055）

- ngx_http_charset_module 模块中的堆缓冲区过度读取 （CWE-125） 允许未经认证的远程攻击者在通过同时配置了 source_charset utf-8 和字符集转换指令的位置块提供或代理内容时造成受限的内存泄露或工作线程进程重新启动。（CVE-2026-48142）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

安装的 nginx 版本低于 0.3.501.30.3或1.31.x1.31.2低于 。因此，它受到以下问题的影响：

  - NGINX Plus 和 NGINX Open Source 在 ngx_http_charset_module 模块中存在一个漏洞。当内容通过同时具有 utf-8 source_charset的位置块提供或代理时;和字符集指令（例如 charset koi8-r;）配置的、未经身份验证的远程攻击者可发送请求（结合其无法控制的情况）造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重新启动。注意：不评估已达到技术支持结束日期 (EoTS) 的软件版本。(CVE-2026-48142)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1922 公告中提及的多个漏洞影响。

    NGINX Plus 和 NGINX Open Source 在 ngx_http_proxy_v2_module 和 ngx_http_grpc_module 模块中存在一个漏洞。当 proxy_http_version to 2 或 grpc_pass 指令用于代理 HTTP/2 流量、ignore_invalid_headers 指令设置为 off、large_client_header_buffers指令大小大于 2 兆字节时，存在此漏洞。未经认证的远程攻击者及其无法控制的情况可在创建上游请求时发送大型标头。
    这可能会造成 NGINX 工作进程中发生基于堆的缓冲区溢出，进而导致重启。
    此外，攻击者可在禁用了地址空间布局随机化 (ASLR) 或在可以绕过 ASLR 的系统上执行代码。

    注意：不评估已达到技术支持结束日期 (EoTS) 的软件版本。
    (CVE-2026-42055)

    NGINX Plus 和 NGINX Open Source 在 ngx_http_charset_module 模块中存在一个漏洞。当内容通过同时具有 utf-8 source_charset的位置块提供或代理时;和字符集指令（例如 charset koi8-r;）配置的、未经身份验证的远程攻击者可发送请求（结合其无法控制的情况）造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重新启动。

    注意：不评估已达到技术支持结束日期 (EoTS) 的软件版本。
    (CVE-2026-48142)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 LTS 主机上安装的多个程序包受到 USN-8458-1 公告中提及的多个漏洞影响。

    已发现 nginx 在代理 HTTP/2 流量时未正确处理大型标头。远程攻击者可以利用此问题导致 nginx 崩溃，从而导致拒绝服务或可能执行任意代码。受影响版本的默认编译器选项应减少拒绝服务攻击漏洞。(CVE-2026-42055)

    已发现 nginx 在某些情况下未正确处理字符集转换。远程攻击者可能利用此问题获取敏感信息或造成 nginx 崩溃，从而导致拒绝服务。（CVE-2026-48142）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的程序包受到 dsa-6374 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6374-1 security@debian.org Bonaccorso 2026 https://www.debian.org/security/Salvatore 年 6 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nginx CVE ID： CVE-2026-42055 CVE-2026-48142 Debian 缺陷：1140359 1140361

    高性能 web 和反向代理服务器 Nginx 中发现多个漏洞，可能会造成远程代码执行、拒绝服务或内存泄露。

    对于稳定发行版本 （trixie），已在版本 1.26.3-3+deb13u7 中修复这些问题。

    建议您升级 nginx 程序包。

    如需了解 nginx 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nginx

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4660 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4660-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 6 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：nginx 版本：1.18.0-6.1+deb11u8 CVE ID： CVE-2026-42055 CVE-2026-48142 Debian 缺陷：1138794 1140359 1140361

    高性能 web 和反向代理服务器 Nginx 中发现多个漏洞，可能会造成远程代码执行、拒绝服务或内存泄露。

    CVE-2026-42055

        NGINX Open Source 在 ngx_http_proxy_v2_module 和 ngx_http_grpc_module 模块中存在漏洞。当 proxy_http_version to 2 或 grpc_pass 指令用于代理 HTTP/2 流量、ignore_invalid_headers 指令设置为 off、large_client_header_buffers指令大小大于 2 兆字节时，存在此漏洞。未经认证的远程攻击者及其无法控制的情况可在创建上游请求时发送大型标头。这可能会造成 NGINX 工作进程中发生基于堆的缓冲区溢出，进而导致重启。此外，攻击者可在禁用了地址空间布局随机化 (ASLR) 或在可以绕过 ASLR 的系统上执行代码。

    CVE-2026-48142

       NGINX Open Source 在 ngx_http_charset_module 模块中存在漏洞。
       当内容通过同时具有 utf-8 source_charset的位置块提供或代理时;和字符集指令（例如 charset koi8-r;）配置的、未经身份验证的远程攻击者可发送请求（结合其无法控制的情况）造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重新启动。

    尚未分配 CVE

        HTTP/2 Bomb 拒绝服务

    对于 Debian 11 bullseye，这些问题已在 1.18.0-6.1+deb11u8 版本中修复。

    建议您升级 nginx 程序包。

    如需了解 nginx 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nginx

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NGINX Plus 和 NGINX Open Source 在 ngx_http_charset_module 模块中存在一个漏洞。当内容通过同时具有 utf-8 source_charset的位置块提供或代理时;和字符集指令（例如 charset koi8-r;）配置的、未经身份验证的远程攻击者可发送请求（结合其无法控制的情况）造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重新启动。注意：不评估已达到技术支持结束日期 (EoTS) 的软件版本。(CVE-2026-48142)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dla-4667 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4667-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 7 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：nginx 版本：1.22.1-9+deb12u9 CVE ID： CVE-2026-42055 CVE-2026-48142 Debian 缺陷：1140359 1140361

    高性能 web 和反向代理服务器 Nginx 中发现多个漏洞，可能会造成远程代码执行、拒绝服务或内存泄露。

    CVE-2026-42055

        NGINX Open Source 在 ngx_http_proxy_v2_module 和 ngx_http_grpc_module 模块中存在漏洞。当 proxy_http_version to 2 或 grpc_pass 指令用于代理 HTTP/2 流量、ignore_invalid_headers 指令设置为 off、large_client_header_buffers指令大小大于 2 兆字节时，存在此漏洞。未经认证的远程攻击者及其无法控制的情况可在创建上游请求时发送大型标头。这可能会造成 NGINX 工作进程中发生基于堆的缓冲区溢出，进而导致重启。此外，攻击者可在禁用了地址空间布局随机化 (ASLR) 或在可以绕过 ASLR 的系统上执行代码。

    CVE-2026-48142

       NGINX Open Source 在 ngx_http_charset_module 模块中存在漏洞。
       当内容通过同时具有 utf-8 source_charset的位置块提供或代理时;和字符集指令（例如 charset koi8-r;）配置的、未经身份验证的远程攻击者可发送请求（结合其无法控制的情况）造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重新启动。

    对于 Debian 12 bookworm，这些问题已在 1.22.1-9+deb12u9 版本中修复。

    建议您升级 nginx 程序包。

    如需了解 nginx 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nginx

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 nginx 版本低于 1.30.3-1。因此，该软件受到 ALAS2NGINX1-2026-014 公告中提及的多个漏洞影响。

    NGINX Plus 和 NGINX Open Source 在 ngx_http_proxy_v2_module 和 ngx_http_grpc_module 模块中存在一个漏洞。当 proxy_http_version to 2 或 grpc_pass 指令用于代理 HTTP/2 流量、ignore_invalid_headers 指令设置为 off、large_client_header_buffers指令大小大于 2 兆字节时，存在此漏洞。未经认证的远程攻击者及其无法控制的情况可在创建上游请求时发送大型标头。
    这可能会造成 NGINX 工作进程中发生基于堆的缓冲区溢出，进而导致重启。
    此外，攻击者可在禁用了地址空间布局随机化 (ASLR) 或在可以绕过 ASLR 的系统上执行代码。

    注意：不评估已达到技术支持结束日期 (EoTS) 的软件版本。
    (CVE-2026-42055)

    NGINX Plus 和 NGINX Open Source 在 ngx_http_charset_module 模块中存在一个漏洞。当内容通过同时具有 utf-8 source_charset的位置块提供或代理时;和字符集指令（例如 charset koi8-r;）配置的、未经身份验证的远程攻击者可发送请求（结合其无法控制的情况）造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重新启动。

    注意：不评估已达到技术支持结束日期 (EoTS) 的软件版本。
    (CVE-2026-48142)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202608-16 中所述漏洞影响（nginx：多个漏洞）

    在 nginx 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115285	Nginx < 1.30.3 多个漏洞	Web App Scanning	Component Vulnerability	2026/7/13	2026/7/13	critical
115284	Nginx 1.31.x < 1.31.2 多个漏洞	Web App Scanning	Component Vulnerability	2026/7/13	2026/7/13	critical
321915	nginx 0.3.50 < 1.30.3 / 1.31.x < 1.31.2 ngx_http_charset_module 中的缓冲区越界读取	Nessus	Web Servers	2026/6/22	2026/7/17	medium
327392	Amazon Linux 2023：nginx、nginx-all-modules、nginx-core (ALAS2023-2026-1922)	Nessus	Amazon Linux Local Security Checks	2026/7/16	2026/7/16	critical
322264	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS：nginx 漏洞（USN-8458-1）	Nessus	Ubuntu Local Security Checks	2026/6/23	2026/6/23	critical
323987	Debian DSA-6374：libnginx-mod-http-geoip - 安全更新	Nessus	Debian Local Security Checks	2026/6/30	2026/6/30	critical
324046	Debian DLA-4660： libnginx-mod-http-auth-pam - 安全更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/1	critical
321708	Linux Distros 未修补的漏洞：CVE-2026-48142	Nessus	Misc.	2026/6/20	2026/8/25	medium
325053	Debian DLA-4667：libnginx-mod-http-geoip - 安全更新	Nessus	Debian Local Security Checks	2026/7/3	2026/7/3	critical
325580	Amazon Linux 2 ： nginx， --advisory ALAS2NGINX1-2026-014 （ALASNGINX1-2026-014）	Nessus	Amazon Linux Local Security Checks	2026/7/8	2026/7/8	critical
337633	GLSA-202608-16：nginx：多个漏洞	Nessus	Gentoo Local Security Checks	2026/8/18	2026/8/19	critical

检测

插件搜索

critical

critical

medium

critical

critical

critical

critical

medium

critical

critical

critical