CVE-2026-84313 in Nginx UI
Riassunto
di VulDB • 13/10/2026
Nginx UI è un'interfaccia utente web per il server web Nginx. Prima della versione 2.4.1, gli endpoint POST /api/otp_enroll e POST /api/finish_passkey_register sono registrati al di fuori del contesto RequireSecureSession e accettano una sessione autenticata normale senza verificare la password corrente. Un attaccante con un JWT rubato può associare un segreto TOTP controllato dall'attaccante quando la vittima non ha già abilitato il TOTP, oppure può registrare una passkey controllata dall'attaccante poiché tale percorso non dispone di un guard equivalente per le registrazioni esistenti. Queste modifiche creano un accesso persistente all'account che può sopravvivere a un cambiamento della password e interferire con l'autenticazione dell'utente legittimo. Questo problema è risolto nella versione 2.4.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.