CVE-2026-107809 in Nginx UI
Сводка
по VulDB • 09.10.2026
Nginx UI — это веб-интерфейс для веб-сервера Nginx. Начиная с версии 2.0.0 и до 2.5.0 включительно, AuthRequired принимает куки с токеном, управляемым браузером, в качестве учетных данных API после того, как фронтенд сохраняет JWT (JSON Web Token) в этой куке. Поскольку конечные точки управления не всегда требуют CSRF-токена или проверки заголовков Origin и Referer, удаленный злоумышленник может заставить браузер авторизованного администратора отправлять аутентифицированные запросы к межсайтовому состоянию (CSRF), изменяющие состояние системы, включая POST /api/configs. Для успешной атаки требуется учетная запись администратора без OTP/Passkey или конечная точка управления, не требующая подтверждения безопасности сессии. Злоумышленник не может прочитать ответ из другого источника (cross-origin response), но способен изменить конфигурацию Nginx, инициировать перезагрузку сервера или выполнить другие операции администрирования, доступные в рамках сессии жертвы. Эта проблема исправлена в версии 2.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.