CVE-2026-107807
Açıklama
Nginx UI, Nginx web sunucusu için bir web kullanıcı arayüzüdür. 2.0.0 ile 2.5.0 sürümleri arasında Nginx UI, X-Node-Secret başlığını gerektirmek yerine, HTTP ve WebSocket kimlik doğrulama yollarındaki node_secret sorgu parametresi aracılığıyla Node.Secret ana kimlik bilgilerini kabul etmektedir. Sonuç olarak bu kimlik bilgileri; erişim günlüklerinde, proxy günlüklerinde, tarayıcı geçmişinde, Referer başlıklarında, yapılandırma URL'lerinde ve dağıtım ortamı verilerinde görünebilir. Bu gizli bilgiye erişen bir taraf; normal şifre, JWT, oturum ve ikinci faktör kontrollerini atlayarak, yapılandırma ve gizli materyallere erişim dahil olmak üzere kalıcı yönetici API erişimi elde edebilir. Bu sorun 2.5.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- nginxui nginx_ui2.5.0 ya da sonraki bir sürüm
- github.com/0xJacky/Nginx-UI1.9.10-0.20260728074433-a3999bd78a3b ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nginxui nginx_ui | 2.0.0 ≤ v < 2.5.0 | 2.5.0 |
| github.com/0xJacky/Nginx-UIGo | 1.9.10-0.20250517140552-daee3ac7ade1 ≤ v < 1.9.10-0.20260728074433-a3999bd78a3b | 1.9.10-0.20260728074433-a3999bd78a3b |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.