CVE-2026-107809 in Nginx UI
要約
〜によって VulDB • 2026年10月09日
Nginx UIは、Nginx Webサーバー用のWebユーザーインターフェースです。バージョン2.0.0から2.5.0まで、AuthRequiredは、フロントエンドがJWTをそのCookieに保存した後、ブラウザ管理トークンCookieをAPI認証情報として受け入れます。管理用エンドポイントではCSRFトークンの必須化やOrigin/Referer検証が行われないため、リモート攻撃者はログイン済みの管理者のブラウザを用いて、POST /api/configsを含む認証済みクロスサイト状態変更リクエストを送信させることができます。この攻撃には、OTP/パスキーを必要としない管理者アカウント、または安全なセッション証明を要求しないターゲットエンドポイントが必要です。攻撃者はオリジン間レスポンスを読み取ることはできませんが、Nginx設定の変更、リロードのトリガー発生、または被害者のセッションで到達可能な他の管理操作の実行が可能です。この問題はバージョン2.5.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.