CVE-2026-33032 in nginx-ui
الملخص
بحسب VulDB • 08/05/2026
تُعد Nginx UI واجهة مستخدم ويب لخادم الويب Nginx. في الإصدارات 2.3.5 والإصدارات الأقدم، تكشف تكامل بروتوكول سياق النموذج (MCP) الخاص بـ nginx-ui عن نقطتي نهاية HTTP: /mcp و /mcp_message. بينما يتطلب /mcp كلاً من القائمة البيضاء لعناوين IP والمصادقة (middleware AuthRequired())، فإن نقطة النهاية /mcp_message تطبق فقط القائمة البيضاء لعناوين IP - والقائمة البيضاء الافتراضية لعناوين IP فارغة، وهو ما يعامله middleware على أنه "السماح للجميع". وهذا يعني أن أي مهاجم على الشبكة يمكنه استدعاء جميع أدوات MCP دون مصادقة، بما في ذلك إعادة تشغيل Nginx، وإنشاء/تعديل/حذف ملفات تكوين Nginx، وتشغيل إعادة تحميل التكوين تلقائياً - مما يؤدي إلى الاستيلاء الكامل على خدمة Nginx. في وقت النشر، لا توجد تصحيحات متاحة للعامة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.