CVE-2026-84316 in Nginx UI
Zusammenfassung
von VulDB • 13.10.2026
Nginx UI ist eine webbasierte Benutzeroberfläche für den Nginx-Webserver. Vor Version 2.4.1 teilt `config.ValidateConfigDirectives` die Konfiguration nach Zeilenumbrüchen auf und überprüft nur das erste Direktiv-Token in jeder Zeile, obwohl Nginx mehrere durch Semikolons getrennte Direktiven in einer einzigen Zeile zulässt. Ein authentifizierter Aufrufer kann eine harmlose Direktive an den Anfang setzen und eine eingeschränkte `load_module`-, `js_import`-, `perl`- oder `user root`-Direktive später auf derselben Zeine platzieren, oder er kann eine uneingeschränkte `include`-Direktive verwenden, um eingeschränkten Inhalt zu laden. Diese Mechanismen umgehen die Validierung in den REST-Schreibpfaden für `nginx_config_modify`, `site` und `stream`; wenn ein ausführbares Modul verfügbar ist, kann die injizierte Konfiguration Code im Nginx-Arbeiterkontext ausführen. Dieses Problem wurde in Version 2.4.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.