CVE-2026-84320
Açıklama
Nginx UI, Nginx web sunucusu için bir web kullanıcı arayüzüdür. 2.4.3 sürümünden önce Nginx UI, otomatik bir yedeklemenin storage_path değerini doğrular ancak AutoBackup.GetName, yol ayırıcılarını veya üst dizin bileşenlerini reddetmeden kullanıcı kontrollü bir isim döndürür ve alt akıştaki dosya adı biçimlendirmesi bu sonucu nihai arşiv dosya adına yerleştirir. Otomatik bir yedekleme oluşturabilen veya değiştirebilen kimliği doğrulanmış bir kullanıcı, filepath.Join fonksiyonunun oluşturulan arşiv yolunu doğrulanmış depolama dizininin dışında çözümlemesine neden olarak yedekleme arşivlerinin Nginx UI işlem ayrıcalıklarıyla yazılmasını sağlayabilir. Şifrelenmiş yapılandırma yedeklemeleri için, bitişikteki şifreleme anahtarı dosyası da doğrulanmış dizinin dışına yazılabilir. Bu sorun 2.4.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/0xJacky/Nginx-UI1.9.10-0.20260715121709-f92218e01054 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/0xJacky/Nginx-UIGo | v < 1.9.10-0.20260715121709-f92218e01054 | 1.9.10-0.20260715121709-f92218e01054 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.