CVE-2026-84316
Təsvir
Nginx UI, Nginx veb serveri üçün veb istifadəçi interfeysidir. Versiya 2.4.1-dək olan versiyalarda, config.ValidateConfigDirectives konfiqurasiyanı yeni sətir simvolu ilə bölür və hər sətirdə yalnız ilk direktiv tokenini yoxlayır, halbuki Nginx bir sətirdə nöqtəli vergüllə ayrılmış çoxlu direktivlərə icazə verir. Autentifikasiya olunmuş çağırıcı birinci zərərsiz direktivi, eyni sətirin davamında isə məhdudlaşdırılmış load_module, js_import, perl və ya user root direktivini yerləşdirə bilər və ya məhdudlaşdırılmış məzmunu yükləmək üçün məhdudiyyətsiz include direktivindən istifadə edə bilər. Bu mexanizmlər REST, nginx_config_modify, site və stream yazma yollarındakı validasiyadan yan keçməyə imkan verir; icra edilə bilən modul mövcud olduqda, injeksiya edilmiş konfiqurasiya Nginx worker kontekstində kodu icra edə bilər. Bu problem 2.4.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/0xJacky/Nginx-UI1.9.10-0.20260703131214-23d1934099b0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/0xJacky/Nginx-UIGo | v < 1.9.10-0.20260703131214-23d1934099b0 | 1.9.10-0.20260703131214-23d1934099b0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.