Veille sécuritéBackend & données
P3Élevée
Dans Nginx UI avant 2.4.1, l’outil MCP nginx_config_add écrit une configuration et recharge Nginx sans appeler le contrôle qui bloque certaines directives dangereuses. Un utilisateur MCP authentifié peut ainsi injecter des directives restreintes et provoquer une exécution de code si les modules concernés sont disponibles ; mettre à jour vers 2.4.1.
Nginx
IdentifiantCVE-2026-84317
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84317
Analyse technique
Le chemin MCP nginx_config_add ne fait pas appel à ValidateConfigFile avant d’écrire le contenu fourni puis de recharger Nginx.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-12 à 21:17:22.213Z, dans la période demandée. L’élément concerne Nginx UI, logiciel d’administration de Nginx.
ImpactUn utilisateur MCP authentifié peut ajouter une configuration contenant des directives dangereuses ; l’exécution de code dépend des modules disponibles.
Versions affectéesNginx UI avant 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-12T21:17:22.213Z
Mise à jour2026-10-12T21:17:22.213Z
Détection / vérification
Vérifier la version de Nginx UI et que les opérations de configuration MCP appliquent la validation de directives.
Action recommandée
Mettre à jour Nginx UI vers 2.4.1.
Sources
Priorisation DFS : P3 · 1 source(s).