CVE-2026-84313 in Nginx UI
요약
\~에 의해 VulDB • 2026. 10. 12.
Nginx UI는 Nginx 웹 서버를 위한 웹 사용자 인터페이스입니다. 버전 2.4.1 이전에서는 POST /api/otp_enroll 및 POST /api/finish_passkey_register가 RequireSecureSession 외부에 등록되어 있으며, 현재 비밀번호를 검증하지 않고 일반 인증된 세션을 허용합니다. 도난당한 JWT를 가진 공격자는 피해자가 TOTP를 이미 활성화하지 않은 경우 공격자 제어 하의 TOTP 비밀값을 바인딩하거나, 해당 경로에 기존 등록 방지 장치가 없기 때문에 공격자 제어 하의 passkey를 등록할 수 있습니다. 이러한 변경은 비밀번호 변경 후에도 지속될 수 있으며 정당한 사용자의 인증을 방해하는 영구적인 계정 접근 권한을 생성합니다. 이 문제는 버전 2.4.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.