CVE-2026-84313 in Nginx UI
要約
〜によって VulDB • 2026年10月13日
Nginx UIは、Nginx Webサーバー用のWebユーザーインターフェースです。バージョン2.4.1より前では、POST /api/otp_enrollおよびPOST /api/finish_passkey_registerがRequireSecureSessionの外で登録されており、現在のパスワードを検証せずに通常の認証済みセッションを受け入れます。盗まれたJWTを持つ攻撃者は、被害者がTOTPをすでに有効にしていない場合に攻撃者制御のTOTPシークレットをバインドしたり、同等のエクスisting-enrollmentガードがないパスのため攻撃者制御のpasskeyを登録したりできます。これらの変更により、パスワードの変更後も持続し、正当なユーザーの認証に干渉する永続的なアカウントアクセスが可能になります。この問題はバージョン2.4.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.