CVE-2024-22198
Açıklama
Nginx-UI, Nginx yapılandırmalarını yönetmek için kullanılan bir web arayüzüdür. Yapılandırma ayarlarının kötüye kullanılmasıyla keyfi komut çalıştırılmasına karşı savunmasızdır. `Home > Preference` sayfası; `Run Mode`, `Jwt Secret`, `Node Secret` ve `Terminal Start Command` gibi sistem ayarları listesini sunmaktadır. Kullanıcı arayüzü, kullanıcıların `Terminal Start Command` ayarını değiştirmesine izin vermese de, API'ye istek göndererek bunu yapmak mümkündür. Bu sorun; kimlik doğrulaması yapılmış uzaktan kod çalıştırmaya, yetki yükseltmeye ve bilgi ifşasına yol açabilir. Bu güvenlik açığı 2.0.0.beta.9 versiyonunda giderilmiştir.
Nasıl düzeltilir
- nginxui nginx_ui2.0.0 ya da sonraki bir sürüm
- github.com/0xJacky/Nginx-UI1.9.10-0.20231219184941-827e76c46e63 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nginxui nginx_ui | v < 2.0.0, 2.0.0 | 2.0.0 |
| github.com/0xJacky/Nginx-UIGo | v < 1.9.10-0.20231219184941-827e76c46e63 | 1.9.10-0.20231219184941-827e76c46e63 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.