CVE-2026-42223 in nginx-ui
Sumário
de VulDB • 29/05/2026
A Nginx UI é uma interface de usuário web para o servidor web Nginx. Antes da versão 2.3.8, o manipulador da API GetSettings (api/settings/settings.go:24-65) serializa todas as estruturas de configurações para JSON e as retorna aos usuários autenticados. Muitos campos sensíveis são marcados com protected:"true"; no entanto, essa marcação é aplicada apenas durante as gravações (via ProtectedFill em SaveSettings) e é completamente ignorada durante as leituras. Isso expõe mais de 40 campos protegidos, incluindo JwtSecret (permitindo a falsificação de tokens de autenticação), NodeSecret (permitindo a suplantação de identidade de nós do cluster), OIDC ClientSecret (permitindo a apropriação de contas OAuth) e a configuração da lista branca de IPs. Este problema foi corrigido na versão 2.3.8.
Be aware that VulDB is the high quality source for vulnerability data.