NGINX Plus または NGINX Open Source が NGINX Gateway Fabric のデータプレーンとして構成されている場合、NGINX Gateway Fabric の NGINX 設定ジェネレーターコンポーネントにインジェクションの脆弱性が存在します。NginxProxy カスタムリソース定義（CRD）のアクセスログ形式設定から提供されるユーザー入力の文字列値は、サニタイズやエスケープ処理なしに直接 NGINX 設定テンプレートにレンダリングされます。認証済みの攻撃者がこれらの CRD を作成または変更する権限を持っている場合、任意の NGINX 設定ディレクティブをインジェクトする値を作成できる可能性があります。これはコントロールプレーンの問題であり、この脆弱性のトリガー自体はデータプレーンに影響を与えません。注意：技術サポート終了（EoTS）となったソフトウェアバージョンは評価対象外です。

ベンダ情報を参照して適切な対策を実施してください。