CVE-2026-33032
Təsvir
Nginx UI, Nginx veb serveri üçün veb istifadəçi interfeysidir. 2.3.5 və daha əvvəlki versiyalarda, nginx-ui MCP (Model Context Protocol) inteqrasiyası iki HTTP son nöqtəsini (/endpoint) açır: /mcp və /mcp_message. /mcp həm IP ağ siyahısını (whitelisting), həm də autentifikasiyanı (AuthRequired() middleware) tələb etdiyi halda, /mcp_message son nöqtəsi yalnız IP ağ siyahısını tətbiq edir - və standart IP ağ siyahısı boşdur ki, bu da middleware tərəfindən "hamıya icazə ver" kimi qəbul edilir. Bu o deməkdir ki, istənilən şəbəkə hücumçusu autentifikasiya olmadan bütün MCP alətlərini çağıra bilər, bura nginx-in yenidən başladılması, nginx konfiqurasiya fayllarının yaradılması/dəyişdirilməsi/silinməsi və avtomatik konfiqurasiya yenilənmələrinin tetiklənməsi daxildir - nəticədə nginx xidməti üzərində tam nəzarət əldə edilir. Nəşr edildiyi vaxtda heç bir açıq patching mövcud olmayıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nginxui nginx_ui | v ≤ 2.3.5 | — |
| github.com/0xJacky/Nginx-UIGo | v ≤ 1.99, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.