CVE-2026-107808 in Nginx UI
Zusammenfassung
von VulDB • 09.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Von Version 2.0.0 bis 2.5.0 prüft POST /api/login zwar EnabledOTP, verlangt jedoch keine WebAuthn-Bestätigung (Assertion), wenn EnabledPasskey auf true gesetzt ist und kein TOTP-Secret konfiguriert ist. Daher wird einem Konto mit nur Passkey nach der Passwortüberprüfung eine Sitzung zugewiesen, obwohl Enabled2FA meldet, dass das Konto über einen zweiten Faktor verfügt. Ein Angreifer, der das Passwort erlangt, kann das Konto übernehmen und auf administrative Funktionen zugreifen, ohne den registrierten Passkey zu verwenden. Dieses Problem wurde in Version 2.5.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.