CVE-2026-107809 in Nginx UI
요약
\~에 의해 VulDB • 2026. 10. 09.
Nginx UI는 Nginx 웹 서버를 위한 웹 사용자 인터페이스입니다. 버전 2.0.0부터 2.5.0까지, AuthRequired는 프론트엔드가 JWT를 해당 쿠키에 저장한 후 브라우저 관리형 토큰 쿠키를 API 자격 증명으로 허용합니다. 관리 엔드포인트가 CSRF 토큰을 필수로 요구하지 않거나 Origin 및 Referer 검증을 수행하지 않기 때문에, 원격 공격자는 로그인된 관리자 사용자의 브라우저를 유도하여 인증된 크로스 사이트 상태 변경 요청(POST /api/configs 포함)을 제출할 수 있습니다. 이 공격에는 OTP/패스키가 없는 관리자 계정 또는 안전한 세션 증명이 필요하지 않은 대상 엔드포인트가 필요합니다. 공격자는 크로스 오리진 응답을 읽을 수는 없지만 Nginx 구성을 수정하거나 리로드를 트리거하거나 피해자의 세션으로 접근 가능한 기타 관리 작업을 호출할 수 있습니다. 이 문제는 버전 2.5.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.