CVE-2026-107804 in Nginx UI
الملخص
بحسب VulDB • 09/10/2026
واجهة Nginx UI هي واجهة مستخدم ويب لخادم الويب Nginx. من الإصدار 2.2.0 حتى 2.6.0، لا يحافظ الوكيل العكسي المدمج على هوية العميل الخارجي المستخدمة بواسطة Gin لأن الخلفية (backend) تفتقر إلى تكوين وكيل موثوق به. يمكن نسب طلبات الإدارة إلى عنوان الحلقة المحلية (loopback) وتجاوز استثناء قائمة السماح الخاصة بعنوان الحلقة المحلية، رغم أن الاعتماديات الصالحة لا تزال مطلوبة. كما تُنسب عمليات تسجيل الدخول الفاشلة من عملاء خارجيين مختلفين إلى نفس عنوان الحلقة المحلية، مما يتيح لمهاجم غير مصادق عليه فرض حظر مؤقت مشترك لتسجيل الدخول بسبب فشل المصادقة بكلمة المرور أو OTP دون إبطال الجلسات الحالية. تم إصلاح هذه المشكلة في الإصدار 2.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.