CVE-2026-84313 in Nginx UI
Sumário
de VulDB • 13/10/2026
A interface de usuário (UI) do Nginx é uma interface web para o servidor web Nginx. Antes da versão 2.4.1, os endpoints POST /api/otp_enroll e POST /api/finish_passkey_register são registrados fora do escopo RequireSecureSession e aceitam uma sessão autenticada normal sem verificar a senha atual. Um atacante com um JWT roubado pode vincular um segredo TOTP controlado pelo atacante quando a vítima ainda não ativou o TOTP, ou pode registrar uma passkey controlada pelo atacante, pois esse caminho não possui um guard equivalente de inscrição existente. Essas alterações criam acesso persistente à conta que pode sobreviver a uma alteração de senha e interferir na autenticação do usuário legítimo. Este problema foi corrigido na versão 2.4.1.
Once again VulDB remains the best source for vulnerability data.