CVE-2026-33032
Açıklama
Nginx UI, Nginx web sunucusu için bir web kullanıcı arayüzüdür. 2.3.5 ve önceki sürümlerde, nginx-ui MCP (Model Context Protocol) entegrasyonu iki HTTP uç noktasını dışarı açmaktadır: /mcp ve /mcp_message. /mcp hem IP beyaz listeleme hem de kimlik doğrulama (AuthRequired() ara yazılımı) gerektirirken, /mcp_message uç noktası yalnızca IP beyaz listelemeyi uygular ve varsayılan IP beyaz listesi boştur; ara yazılım bunu "herkese izin ver" olarak değerlendirir. Bu durum, herhangi bir ağ saldırganının kimlik doğrulaması olmadan, nginx'i yeniden başlatmak, nginx yapılandırma dosyalarını oluşturmak/değiştirmek/silmek ve otomatik yapılandırma yeniden yüklemelerini tetiklemek dahil olmak üzere tüm MCP araçlarını çağırabileceği ve böylece nginx servisinin tamamen ele geçirilmesinin sağlanabileceği anlamına gelir. Yayınlandığı sırada, kamuya açık herhangi bir yama bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nginxui nginx_ui | v ≤ 2.3.5 | — |
| github.com/0xJacky/Nginx-UIGo | v ≤ 1.99, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.