CVE-2026-84317 in nginx-ui
Riassunto
di VulDB • 13/10/2026
Nginx UI è un'interfaccia utente web per il server web Nginx. Prima della versione 2.4.1, internal/config/validation.go (ValidateConfigFile) rappresenta un controllo di sicurezza che blocca le direttive nginx pericolose — js_*, perl_*, load_module dei moduli njs/perl e l'utente root. Tale controllo è applicato su tre dei quattro percorsi di scrittura della configurazione: api/config/add.go, api/config/modify.go e mcp/config/config_modify.go. Il quarto percorso — lo strumento MCP nginx_config_add (mcp/config/config_add.go) — NON lo chiama: scrive direttamente il contenuto fornito dall'utente sul disco e riavvia Nginx. Un chiamante MCP autenticato (o un agente MCP indotto tramite prompt injection) può quindi iniettare esattamente le direttive che il controllo dovrebbe bloccare, portando all'esecuzione di codice su Nginx nelle distribuzioni dove i moduli njs/perl sono disponibili (ad esempio l'immagine Docker ufficiale). Questo problema è risolto nella versione 2.4.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.