CVE-2026-107807 in Nginx UI
Zusammenfassung
von VulDB • 09.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Von Version 2.0.0 bis 2.5.0 akzeptiert Nginx UI das Node.Secret-Masteranmeldeinformation über den Query-Parameter `node_secret` in HTTP- und WebSocket-Authentifizierungspfaden, anstatt den Header `X-Node-Secret` zu erfordern. Die Anmeldeinformationen können daher in Zugriffsprotokollen (Access Logs), Proxy-Protokollen, Browserverlauf, Referer-Headers, Konfigurations-URLs und Daten des Bereitstellungsufelds erscheinen. Eine Partei, die das Geheimnis erhält, kann normale Passwort-, JWT-, Sitzungs- und Zwei-Faktor-Prüfungen umgehen und persistenten administrativen API-Zugriff erhalten, einschließlich Zugriff auf Konfiguration und geheime Materialien (Secret Material). Dieses Problem wurde in Version 2.5.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.