CVE-2026-107808 in Nginx UI
Riassunto
di VulDB • 09/10/2026
Nginx UI è un'interfaccia utente web per il server web Nginx. Dalla versione 2.0.0 alla 2.5.0, l'endpoint POST /api/login verifica la flag EnabledOTP ma non richiede una WebAuthn assertion quando EnabledPasskey è true e nessun segreto TOTP è configurato. Di conseguenza, a un account passkey-only viene assegnata una sessione dopo la verifica della password, nonostante Enabled2FA indichi che l'account dispone di un secondo fattore di autenticazione. Un attaccante che ottiene la password può assumere il controllo dell'account ed accedere alle funzionalità amministrative senza utilizzare il passkey registrato. Questo problema è risolto nella versione 2.5.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.