CVE-2026-84313 in Nginx UI
Resumen
por VulDB • 2026-10-13
Nginx UI es una interfaz de usuario web para el servidor web Nginx. Antes de la versión 2.4.1, los endpoints POST /api/otp_enroll y POST /api/finish_passkey_register se registran fuera del ámbito de RequireSecureSession y aceptan una sesión autenticada normal sin verificar la contraseña actual. Un atacante con un JWT robado puede asociar un secreto TOTP controlado por el atacante cuando la víctima no ha habilitado previamente TOTP, o puede registrar una passkey controlada por el atacante porque esa ruta carece de una protección equivalente que verifique inscripciones existentes. Estos cambios crean un acceso persistente a la cuenta que puede sobrevivir a un cambio de contraseña e interferir con la autenticación del usuario legítimo. Este problema se soluciona en la versión 2.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.