CVE-2026-107809

Nginx UI, Nginx veb serveri üçün veb istifadəçi interfeysidir. 2.0.0 versiyasından 2.5.0 versiyasına qədər, ön tərəf (front end) JWT-ni brauzer tərəfindən idarə olunan token kukisinə yerləşdirdikdən sonra, AuthRequired həmin kukini API etibarlılığı kimi qəbul edir. İdarəetmə son nöqtələri universal şəkildə CSRF token tələb etmədikdə və ya Origin və ya Referer yoxlamasını həyata keçirmədikdə, uzaqdakı hücumçu daxil olmuş administratorun brauzerini autentifikasiya olunmuş saytlararası vəziyyət dəyişdirici sorğuları, o cümlədən POST /api/configs sorğusunu göndərməyə məcbur edə bilər. Hücum üçün OTP/Passkey olmadan administrator hesabı və ya təhlükəsiz sessiya sübutu tələb etməyən hədəf son nöqtəsi lazımdır. Hücumçu çarpaz mənşəli cavabları oxuya bilmir, lakin Nginx konfiqurasiyasını dəyişdirə, yenidən yükləmələri tetikleyə və ya qurbanın sessiyası ilə əlçatan olan digər idarəetmə əməliyyatlarını çağıra bilər. Bu problem 2.5.0 versiyasında düzəldilmişdir.