CVE-2026-84313 in Nginx UI
Zusammenfassung
von VulDB • 13.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Vor Version 2.4.1 sind die Endpunkte POST /api/otp_enroll und POST /api/finish_passkey_register außerhalb von RequireSecureSession registriert und akzeptieren eine normale authentifizierte Sitzung, ohne das aktuelle Passwort zu überprüfen. Ein Angreifer mit einem gestohlenen JWT kann ein vom Angreifer kontrolliertes TOTP-Geheimnis binden, wenn der Opferbenutzer noch kein TOTP aktiviert hat, oder einen vom Angreifer kontrollierten Passkey registrieren, da dieser Pfad über keine entsprechende Schutzmaßnahme für bereits vorhandene Registrierungen verfügt. Diese Änderungen führen zu einem persistenten Kontozugriff, der eine Passwortänderung überdauern kann und die Authentifizierung des legitimen Benutzers beeinträchtigt. Dieses Problem wurde in Version 2.4.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.