Максим добрый день.
Что найдено то и показано. Без затей. Для тех кого это может коснуться.
> Этим вы показали только то, что устаревшая версия nginx с кучей сторонних
> модулей имеет возможность переименовывать/удалять директории, на которые у
> nginx нет прав.
Инет не идеален:) Версия не самая последняя, и модули есть сторонние, и вероятно тоже не самые последние.
Предполагаю, что так - не у меня одного:) Сферические кони в идеальном вакууме это утопия:)))

> Поставьте чистый nginx последней версии из официального репозитория nginx
> или соберите из исходников и тогда продемонстрируйте баг.
Так и сделаю конечно.

PS: Да я согласен с вами, что дырка может быть в любом используемом модуле и в lua.
"Будем искать"(c)кф Бриллиантовая рука.