CVE-2026-42220
Açıklama
Nginx UI, Nginx web sunucusu için bir web kullanıcı arayüzüdür. Versiyon 2.3.8 öncesinde, kimliği doğrulanmış bir kullanıcı GET /api/settings uç noktasını çağırarak node.secret dahil olmak üzere hassas yapılandırma değerlerini elde edebilir. Aynı node.secret değeri, X-Node-Secret başlığı (veya node_secret sorgu parametresi) aracılığıyla AuthRequired() tarafından kabul edilmekte; bu durum isteğin trusted-node yolu üzerinden kimliği doğrulanmış olarak değerlendirilmesine ve init kullanıcısı ile ilişkilendirilmesine neden olmaktadır. Bu sorun versiyon 2.3.8'de düzeltilmiştir.
Nasıl düzeltilir
- nginxui nginx_ui2.3.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nginxui nginx_ui | v < 2.3.8 | 2.3.8 |
| github.com/0xJacky/Nginx-UIGo | v ≤ 1.9.9, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.