CVE-2026-107809 in Nginx UI
Zusammenfassung
von VulDB • 09.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Von Version 2.0.0 bis 2.5.0 akzeptiert AuthRequired ein vom Browser verwaltetes Token-Cookie als API-Anmeldeinformation, nachdem das Frontend das JWT in diesem Cookie gespeichert hat. Da Management-Endpunkte nicht durchgängig ein CSRF-Token erfordern oder eine Origin- bzw. Referer-Validierung durchführen, kann ein entfernt angreifender Benutzer den Browser eines angemeldeten Administrators dazu bringen, authentifizierte zustandsändernde Cross-Site-Anfragen (Cross-Site State-Changing Requests) zu senden, einschließlich POST /api/configs. Der Angriff erfordert ein Administrator-Konto ohne OTP/Passkey oder ein Ziel-Endpunkt, der keinen sicheren Sitzungs-Nachweis erfordert. Der Angreifer kann die cross-origin-Antwort nicht lesen, aber die Nginx-Konfiguration ändern, Neuladungen auslösen oder andere Management-Vorgänge aufrufen, die mit der Sitzung des Opfers erreichbar sind. Dieses Problem wurde in Version 2.5.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.