Mittel26 / 100Konfidenz: Mittel

CVSS8.8EPSS0.8 %Über Netz erreichbarOhne Zutun des Nutzers

Nutzer sollten umgehend auf eine sichere Version von nginx-ui aktualisieren, die diese Schwachstellen behebt.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.8+16
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-84312, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Fuer 1 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-13 10:11 UTCMethodik

[UPDATE] [hoch] nginx-ui: Mehrere Schwachstellen

CERT-Bund·13. Oktober 2026, 10:11

Originalartikel lesen bei CERT-Bund

Mehrere kritische Schwachstellen in nginx-ui ermöglichen Angreifern die Ausführung beliebigen Codes, erweiterte Rechte, Kontoübernahmen und Datenmanipulation. Betroffen sind alle Versionen von Open Source nginx-ui unter 2.4.0 sowie Version 2.4.0. Nutzer sollten umgehend auf eine sichere Version aktualisieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Diese Schwachstellen ermöglichen Angreifern die vollständige Kontrolle über betroffene Systeme, einschließlich der Ausführung von beliebigem Code und der Manipulation von Daten, was zu erheblichen Sicherheitsverletzungen führen kann.

Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung des Servers, auf dem nginx-ui läuft, was zur Ausführung von beliebigem Code mit Root-Rechten, Datenmanipulation und Kontoübernahmen führen kann.

Key Facts

CVE-2026-84318

CVSS: 8.8 · HIGH
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84313

CVSS: 8.8 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84316

CVSS: 8.8 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84317

CVSS: 8.8 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84315

CVSS: 8.3 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84319

CVSS: 8.3 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84360

CVSS: 8.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84312

CVSS: 7.1 · HIGH
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84320

CVSS: 6.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.9.10-0.20260715121709-f92218e01054
Zuweisende CNA: security-advisories@github.com

CVE-2026-84321

CVSS: 5.4 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

CVE-2026-84314

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: 1.9.10-0.20260703131214-23d1934099b0
Zuweisende CNA: security-advisories@github.com

Betroffen

Nutzer von Open Source nginx-ui Versionen 2.4.0 und früher auf UNIX und anderen Plattformen sind betroffen.

Prüfen

▸Überprüfen Sie die installierte Version von nginx-ui. Wenn diese 2.4.0 oder älter ist, ist ein Update erforderlich.
▸Scannen Sie Ihre Systeme auf ungewöhnliche Aktivitäten oder Anzeichen von Kompromittierung, insbesondere auf Servern, die nginx-ui hosten.

▸ 1 weitere

▸Stellen Sie sicher, dass alle Patches und Updates für nginx-ui angewendet wurden und dass die Software auf dem neuesten Stand ist.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs für die Schwachstellen sind nicht angegeben.
▸Details zu den genauen Exploitation-Methoden sind nicht spezifiziert.
▸Die genaue Art der 'anderen Plattformen' neben UNIX ist nicht genannt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Angreifer können beliebigen Code ausführen“

T1068Exploitation for Privilege Escalationzugeordnet

„erweiterte Rechte“

T1098Account Manipulationzugeordnet

„Kontoübernahmen“

T1490Inhibit System Recoveryzugeordnet

„Datenmanipulation“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[UPDATE] [hoch] nginx-ui: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-84318 CVE-2026-84313 CVE-2026-84316 CVE-2026-84317 CVE-2026-84315 CVE-2026-84319 CVE-2026-84360 CVE-2026-84312 CVE-2026-84320 CVE-2026-84321 CVE-2026-84314

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (11)

CVE-2026-84318HIGH(8.8)

EPSS 0.8%

Nginx UI is a web user interface for the Nginx web server. From 2.0.0-rc.6 until 2.4.1, the MCP tool nginx_config_add writes nginx configuration files to disk and triggers an nginx reload without calling config.ValidateConfigFile. The identical flow in the REST API (POST /api/configs) does call that function and correctly rejects dangerous directives. An authenticated attacker can exploit this gap to write config files containing any blocked directive (perl, js_import, load_module, user root, etc.), bypassing nginx-ui's entire security layer. On a server with the nginx Perl, njs, or Lua module loaded, this is post-authentication Remote Code Execution. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84313HIGH(8.8)

EPSS 0.5%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, POST /api/otp_enroll and POST /api/finish_passkey_register are registered outside RequireSecureSession and accept a normal authenticated session without verifying the current password. An attacker with a stolen JWT can bind an attacker-controlled TOTP secret when the victim has not already enabled TOTP, or can register an attacker-controlled passkey because that path has no equivalent existing-enrollment guard. These changes create persistent account access that can survive a password change and interfere with the legitimate user's authentication. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84316HIGH(8.8)

EPSS 0.5%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, config.ValidateConfigDirectives splits configuration by newline and checks only the first directive token on each line even though Nginx permits multiple semicolon-separated directives on one line. An authenticated caller can place a benign directive first and a restricted load_module, js_import, perl, or user root directive later on the same line, or can use an unrestricted include directive to load restricted content. These mechanisms bypass validation on REST, nginx_config_modify, site, and stream write paths; when an executable module is available, the injected configuration can execute code in the Nginx worker context. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84317HIGH(8.8)

EPSS 0.5%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, internal/config/validation.go (ValidateConfigFile) is a security control that blocks dangerous nginx directives — js_*, perl_*, load_module of the njs/perl modules, and user root. It is enforced on three of the four config-write paths: api/config/add.go, api/config/modify.go, and mcp/config/config_modify.go. The fourth path — the MCP tool nginx_config_add (mcp/config/config_add.go) — does NOT call it: it writes the caller-supplied content straight to disk and reloads nginx. An authenticated MCP caller (or an MCP agent induced via prompt injection) can therefore inject exactly the directives the control is meant to block, leading to nginx code execution on deployments where the njs/perl module is available (e.g. the official Docker image). This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84315HIGH(8.3)

EPSS 0.3%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, Nginx UI does not apply RequireSecureSession to multiple authenticated mutation routes even though OTP-enabled users are expected to present a fresh X-Secure-Session-ID for sensitive actions. A stolen authenticated session can therefore create or alter automatic backups, DNS credentials and records, certificates and ACME users, Nginx control settings, and site or stream automation without completing the OTP or passkey step-up. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84319HIGH(8.3)

EPSS 0.3%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, the regular HTTP configuration API rejects restricted Nginx directives such as load_module, js_import, and js_content. However, the MCP configuration interface allows a secondary authenticated user to write and apply equivalent restricted configuration content. This allows the user to load ngx_http_js_module.so, import attacker-controlled JavaScript, reload Nginx, and execute NJS in the Nginx worker context. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84360HIGH(8.1)

EPSS 0.4%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, the HTTP configuration mutation routes require RequireSecureSession, but /mcp and /mcp_message require only ordinary authentication before exposing nginx_config_add and nginx_config_modify. An OTP-enabled user with a normal JWT but no valid X-Secure-Session-ID can therefore create or modify Nginx configuration and trigger reload behavior through MCP, bypassing the intended step-up control. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84312HIGH(7.1)

EPSS 0.2%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, GetCasdoorUri uses the configured Casdoor application name as a constant OAuth state value and CasdoorCallback does not compare the submitted state with a value bound to the initiating browser session. An unauthenticated attacker can cause a victim's browser to complete an attacker-controlled Casdoor authorization flow, and the callback can mint a Nginx UI session for the identity returned by that authorization code. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84320MEDIUM(6.3)

EPSS 0.2%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.3, Nginx UI validates an automatic backup's storage_path, but AutoBackup.GetName returns a user-controlled name without rejecting path separators or parent-directory components, and downstream filename formatting embeds that result in the final archive filename. An authenticated user who can create or modify an automatic backup can cause filepath.Join to resolve the generated archive path outside the validated storage directory, allowing backup archives to be written with the Nginx UI process privileges. For encrypted configuration backups, the adjacent encryption key file can also be written outside the validated directory. This issue is fixed in version 2.4.3.

Details NVD

CVE-2026-84321MEDIUM(5.4)

EPSS 0.2%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, GenerateShortToken creates standalone short-token records without a long Token value, but DeleteUserTokens invalidates cached entries only when the long Token field is nonempty. A revoked short token can therefore remain in the short_token cache and authenticate again if the associated account is re-enabled before the cache entry expires because GetTokenUserByShortToken reads the surviving entry, restoring access to HTTP or WebSocket routes that accept short-token authentication. This issue is fixed in version 2.4.1.

Details NVD

CVE-2026-84314NONE

EPSS 0.4%

Nginx UI is a web user interface for the Nginx web server. Prior to 2.4.1, the POST /api/users/:id user-management endpoint permits an authenticated user to change another user's password without passing RequireSecureSession, even though the self-service password-change path requires that step-up. An attacker with an authenticated account can change the initial administrator's password, invalidate existing administrator tokens, and then authenticate as the administrator. This issue is fixed in version 2.4.1.

Details NVD

GitHub Advisories (11)

GHSA-44xr-mrhh-qm78· CVE-2026-84312

github.com/0xJacky/Nginx-UI

Nginx UI: Casdoor SSO callback uses a constant `state` parameter (login CSRF)

GHSA-gfrc-g87h-7h5w· CVE-2026-84313

github.com/0xJacky/Nginx-UI

Nginx UI: TOTP / passkey enrolment requires no re-authentication, enabling persistent account takeover

GHSA-2gc7-j998-5xx6· CVE-2026-84314

github.com/0xJacky/Nginx-UI

Nginx UI: Account Takeover via Missing `RequireSecureSession` on User Management Endpoint

GHSA-5v7c-xpfp-p65m· CVE-2026-84315

github.com/0xJacky/Nginx-UI

Nginx UI OTP secure-session step-up is missing on sensitive mutation routes

GHSA-cf23-7qxj-xmhr· CVE-2026-84316

github.com/0xJacky/Nginx-UI

Nginx UI: nginx config directive denylist (ValidateConfigFile) is bypassable via same-line ";" separation → authenticated directive injection (RCE on the official image)

GHSA-76pm-mq2q-9gcr· CVE-2026-84317

github.com/0xJacky/Nginx-UI

Nginx UI: MCP nginx_config_add skips config directive validation → authenticated nginx directive injection (RCE on the official image)

GHSA-9jww-cxg5-rj9m· CVE-2026-84318

github.com/0xJacky/Nginx-UI

Nginx UI: MCP `nginx_config_add` Bypasses Directive Validation — Authenticated RCE

GHSA-5r62-gj48-897x· CVE-2026-84319

github.com/0xJacky/Nginx-UI

Nginx UI: MCP configuration tools bypass restricted directive validation and allow secondary authenticated users to execute NJS in Nginx worker context

GHSA-jrq7-xrjx-pcfw· CVE-2026-84320

github.com/0xJacky/Nginx-UI

Nginx UI: Auto backup name allows path traversal outside validated storage path

GHSA-wq4w-vwvq-q3x9· CVE-2026-84321

github.com/0xJacky/Nginx-UI

Nginx UI: Standalone short tokens survive administrative revocation in cache and authenticate again after account re-enable

GHSA-vc32-4gwf-77xp· CVE-2026-84360

github.com/0xJacky/Nginx-UI

Nginx UI: OTP secure-session step-up can be bypassed via MCP configuration tools