CVE-2026-107804
Açıklama
Nginx UI, Nginx web sunucusu için bir web kullanıcı arayüzüdür. 2.2.0 ile 2.6.0 sürümleri arasında, paketle birlikte gelen reverse proxy, arka uçta güvenilir proxy yapılandırması bulunmadığı için Gin tarafından kullanılan harici istemci kimliğini korumamaktadır. Yönetim istekleri loopback adresine atfedilebilir ve geçerli kimlik bilgileri hala gerekli olsa da IP izin listesindeki loopback istisnasını geçebilir. Farklı harici istemcilerden gelen başarısız giriş denemeleri de aynı loopback adresine atfedilmekte, bu durum kimliği doğrulanmamış bir saldırganın mevcut oturumları geçersiz kılmadan şifre veya OTP kimlik doğrulaması için paylaşılan geçici bir giriş yasaklamasını tetiklemesine olanak tanımaktadır. Bu sorun 2.6.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/0xJacky/Nginx-UI1.9.10-0.20260904075558-e30e331303fc ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/0xJacky/Nginx-UIGo | 1.9.10-0.20251005005631-6de168c9454 ≤ v < 1.9.10-0.20260904075558-e30e331303fc, v < 1.9.10-0.20260904075558-e30e331303fc | 1.9.10-0.20260904075558-e30e331303fc |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.