CVE-2026-34403
Təsvir
Nginx UI, Nginx veb serveri üçün veb istifadəçi interfeysidir. Versiya 2.3.5-dən əvvəl, nginx-ui-dəki bütün WebSocket son nöqtələri (endpoints), CheckOrigin funksiyası şərtsiz olaraq "true" qaytaran gorilla/websocket Upgrader-dən istifadə edir ki, bu da Cross-Site WebSocket Hijacking (CSWSH) zəifliyinə yol açır. Autentifikasiya tokenlərinin brauzer kukilərində saxlanılması (HttpOnly və ya açıq SameSite atributları olmadan JavaScript vasitəsilə təyin edilir) ilə birlikdə, daxil olmuş administrator hücumçunun nəzarət etdiyi səhifəni ziyarət etdikdə, zərərli veb səhifə nginx-ui instansiyasına autentifikasiya olunmuş WebSocket bağlantıları qura bilər. Versiya 2.3.5 bu problemi aradan qaldırır.
Necə düzəltmək olar
- nginxui nginx_ui2.3.5 və ya daha yeni versiya
- github.com/0xJacky/Nginx-UI1.9.10-0.20260316053337-1a9cd29a3082 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nginxui nginx_ui | v < 2.3.5 | 2.3.5 |
| github.com/0xJacky/Nginx-UIGo | v < 1.9.10-0.20260316053337-1a9cd29a3082 | 1.9.10-0.20260316053337-1a9cd29a3082 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.