CVE-2026-42220
Təsvir
Nginx UI, Nginx veb serveri üçün veb istifadəçi interfeysidir. Versiya 2.3.8-dən əvvəl autentifikasiya olunmuş istifadəçi GET /api/settings sorğusunu çağıraraq, node.secret daxil olmaqla həssas konfiqurasiya dəyərlərini əldə edə bilər. Eyni node.secret dəyəri AuthRequired() tərəfindən X-Node-Secret başlığı (və ya node_secret sorğu parametri) vasitəsilə qəbul edilir və bu, sorğunun trusted-node yolu ilə autentifikasiya olunmuş kimi qəbul edilməsinə və init istifadəçisi ilə əlaqələndirilməsinə səbəb olur. Bu problem versiya 2.3.8-də aradan qaldırılmışdır.
Necə düzəltmək olar
- nginxui nginx_ui2.3.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nginxui nginx_ui | v < 2.3.8 | 2.3.8 |
| github.com/0xJacky/Nginx-UIGo | v ≤ 1.9.9, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.