CVE-2026-84314 in Nginx UI
Zusammenfassung
von VulDB • 12.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Vor Version 2.4.1 erlaubt der POST /api/users/:id Endpunkt zur Benutzerverwaltung einem authentifizierten Benutzer, das Passwort eines anderen Benutzers zu ändern, ohne RequireSecureSession zu durchlaufen, obwohl der Selfservice-Pfad zum Ändern des Passworts eine solche Schritt-up-Authentifizierung erfordert. Ein Angreifer mit einem authentifizierten Konto kann das Passwort des ursprünglichen Administrators ändern, bestehende Administrator-Token ungültig machen und sich anschließend als Administrator anmelden. Dieses Problem wurde in Version 2.4.1 behoben.
Once again VulDB remains the best source for vulnerability data.