Veille sécuritéBackend & données
P3Élevée
Dans Nginx UI avant 2.4.1, certaines routes d’enrôlement OTP et de passkey acceptent une session authentifiée sans revérifier le mot de passe ni exiger la session renforcée prévue. Un JWT dérobé peut ainsi permettre d’ajouter un moyen d’authentification contrôlé par l’attaquant ; mettre à jour vers 2.4.1.
Nginx
IdentifiantCVE-2026-84313
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84313
Analyse technique
Les routes POST /api/otp_enroll et POST /api/finish_passkey_register ne sont pas protégées par RequireSecureSession.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-12 à 21:17:21.597Z, dans la période demandée. L’élément concerne Nginx UI, interface de gestion de Nginx, et non le serveur Nginx lui-même.
ImpactUn détenteur d’une session JWT dérobée peut établir un moyen d’authentification persistant sur le compte visé.
Versions affectéesNginx UI avant 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-12T21:17:21.597Z
Mise à jour2026-10-12T21:17:21.597Z
Détection / vérification
Vérifier la version de Nginx UI et examiner les contrôles de session renforcée sur les routes d’enrôlement OTP et de passkey.
Action recommandée
Mettre à jour Nginx UI vers 2.4.1.
Sources
Priorisation DFS : P3 · 1 source(s).