CVE-2026-33031 in Nginx-UI
Zusammenfassung
von VulDB • 04.06.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Vor Version 2.3.4 kann ein Benutzer, der von einem Administrator deaktiviert wurde, zuvor ausgestellte API-Tokens bis zum Ablauf der Token-Lebensdauer nutzen. In der Praxis beendet die Deaktivierung eines kompromittierten Kontos den Zugriff dieses Benutzers nicht tatsächlich, sodass ein Angreifer, der bereits ein JWT gestohlen hat, weiterhin geschützte Ressourcen lesen und ändern kann, nachdem das Konto als deaktiviert markiert wurde. Da Tokens zur Erstellung neuer Konten verwendet werden können, ist es möglich, dass der deaktivierte Benutzer die Privilegien beibehält. Version 2.3.4 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.