Обнаружена, возможно, весьма критичная уязвимость.

В ожидании скриптов, конфигов и листинга прав... на данный момент автор предоставил описание проблемы, с которой столкнулся, а также весьма познавательное видео. Комментарии и разноголосица мнений - как всегда, приветствуются.

Описание, короткой строкой: команда DELETE (модуля WEBDAV) исполняется мастер-процессом nginx от пользователя root, т.к. по умолчанию мастер-процесс стартует от рута для доступа к портам 80 & 443 (0-1024). Это уязвимость предоставляет внешним пользователям удалять в области доступа любые файлы и папки, вне зависимости от владельца и прав доступа. (включая файлы, созданные рутом или иным пользователем.)

masterpro.ws/forum/28-bezopasnost/4885-h...nginx-dav-uyazvimost