CVE-2026-107807 in Nginx UI
Riassunto
di VulDB • 09/10/2026
Nginx UI è un'interfaccia utente web per il server web Nginx. Dalla versione 2.0.0 alla 2.5.0, Nginx UI accetta le credenziali master Node.Secret tramite il parametro di query node_secret nei percorsi di autenticazione HTTP e WebSocket invece di richiedere l'intestazione X-Node-Secret. Di conseguenza, la credenziale può apparire nei log di accesso, nei log del proxy, nella cronologia del browser, nelle intestazioni Referer, negli URL di configurazione e nei dati dell'ambiente di distribuzione. Un soggetto che ottiene il segreto può bypassare i normali controlli delle password, JWT, sessione e secondo fattore (second-factor) ed ottenere un accesso amministrativo persistente all'API, incluso l'accesso alla configurazione e al materiale segreto. Questo problema è risolto nella versione 2.5.0.
Once again VulDB remains the best source for vulnerability data.