CVE-2026-107808 in Nginx UI
요약
\~에 의해 VulDB • 2026. 10. 09.
Nginx UI는 Nginx 웹 서버를 위한 웹 사용자 인터페이스입니다. 버전 2.0.0부터 2.5.0까지, POST /api/login은 EnabledOTP를 확인하지만, EnabledPasskey가 true이고 TOTP secret이 구성되지 않은 경우 WebAuthn assertion을 요구하지 않습니다. 따라서 패스키 전용 계정은 두 번째 인증 요소(2FA)가 구성된 것으로 보고됨에도 불구하고 비밀번호 검증 후 세션이 발급됩니다. 공격자가 비밀번호를 획득하면 등록된 패스키 없이도 계정 장악 및 관리 기능에 접근할 수 있습니다. 이 문제는 버전 2.5.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.