CVE-2026-107813 in Nginx UI
Riassunto
di VulDB • 09/10/2026
Nginx UI è un'interfaccia utente web per il server web Nginx. Dalla versione 2.0.0 alla 2.5.0, l'endpoint api/cluster espone operazioni di mutazione dei nodi e degli spazi dei nomi (namespace), nonché operazioni di reload o riavvio del cluster di Nginx con AuthRequired ma senza RequireSecureSession. Un utente autenticato abilitato per OTP che possiede un JWT rubato o persistito può pertanto eseguire CRUD sui nodi, leggere o sostituire le credenziali dei nodi, modificare gli spazi dei nomi ed invocare nodes/reload_nginx o nodes/restart_nginx senza un nuovo passaggio di step-up del secondo fattore. Questo problema rappresenta una correzione incompleta per CVE-2026-84315 ed è risolto nella versione 2.5.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.