CVE-2026-84313 in Nginx UI
الملخص
بحسب VulDB • 13/10/2026
Nginx UI هو واجهة مستخدم ويب لخادم الويب Nginx. قبل الإصدار 2.4.1، كانت النقطتان الطرفيتان POST /api/otp_enroll وPOST /api/finish_passkey_register مسجلتين خارج نطاق RequireSecureSession وتقبلان جلسة مصادقة عادية دون التحقق من كلمة المرور الحالية. يمكن لمهاجم يمتلك JWT مسروقًا ربط سر TOTP يتحكم فيه المهاجم عندما يكون الضحية قد فعلت ميزة TOTP بالفعل، أو تسجيل مفتاح مرور (passkey) يتحكم به المهاجم لأن هذه المسار لا يحتوي على حارس مماثل للتسجيل الحالي. تُحدث هذه التغييرات وصولاً دائمًا إلى الحساب يمكن أن ينجو من تغيير كلمة المرور ويتداخل مع مصادقة المستخدم الشرعي. تم إصلاح هذه المشكلة في الإصدار 2.4.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.