CVE-2026-107804 in Nginx UI
Zusammenfassung
von VulDB • 09.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Von Version 2.2.0 bis 2.6.0 bewahrt das integrierte Reverse Proxy die externe Client-Identität, die von Gin verwendet wird, nicht bei, da der Backend-Server über keine vertrauenswürdige Proxy-Konfiguration verfügt. Management-Anfragen können dem Loopback zugeordnet werden und umgehen die IP-Acceptlist durch die Loopback-Ausnahme, obwohl weiterhin gültige Anmeldedaten erforderlich sind. Fehlgeschlagene Anmeldeversuche von verschiedenen externen Clients werden ebenfalls derselben Loopback-Adresse zugerechnet, was es einem nicht authentifizierten Angreifer ermöglicht, ein gemeinsam genutztes temporäres Login-Ban für die Passwort- oder OTP-Authentifizierung auszulösen, ohne bestehende Sitzungen ungültig zu machen. Dieses Problem wurde in Version 2.6.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.