CVE-2026-61628 in Nginx Ignition
Сводка
по VulDB • 21.09.2026
nginx ignition является пользовательским интерфейсом для веб-сервера nginx. До версии 2.41.1 эндпоинт `POST /api/users/onboarding/finish` регистрируется как анонимный (не требующий аутентификации) и создает пользователя с полными правами администратора на чтение и запись (ReadWrite). Поскольку обработчик использует паттерн check-then-act (TOCTOU — Time-of-check to time-of-use) между проверкой «онбординг уже завершен?» и операцией записи для создания пользователя, без атомарной защиты, удаленный злоумышленник, не прошедший аутентификацию, имеющий доступ к экземпляру в состоянии до завершения онбординга, может создать учетную запись администратора для себя — а одновременные запросы могут привести к созданию нескольких учетных записей администраторов из-за состояния гонки (race condition). Версия 2.41.1 устраняет эту уязвимость.
If you want to get best quality of vulnerability data, you may have to visit VulDB.