Nginx UI : application de directives restreintes via l’interface MCP

Veille sécuritéBackend & données

P3Élevée

Nginx UI présente un contrôle insuffisant dans son interface de configuration MCP : un utilisateur secondaire authentifié peut appliquer des directives Nginx restreintes qui sont refusées par l’API HTTP ordinaire. Cette possibilité peut permettre de charger le module NJS, d’importer du JavaScript contrôlé par l’attaquant et de l’exécuter dans le contexte d’un worker Nginx.

IdentifiantCVE-2026-84319

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif2.4.1

Source : NVD — CVE-2026-84319

Analyse technique

L’interface MCP permet d’appliquer des directives telles que load_module, js_import ou js_content, contrairement à l’API HTTP de configuration ordinaire.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-12 à 23:17:22 +02:00, dans la période retenue.

ImpactUn utilisateur secondaire authentifié peut obtenir l’exécution de JavaScript dans le contexte des workers Nginx.

Versions affectéesNginx UI avant 2.4.1

Version corrigée2.4.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.3

Publication2026-10-12T23:17:22.517+02:00

Mise à jour2026-10-12T23:17:22.517+02:00

Détection / vérification

Vérifier la version de Nginx UI et les contrôles appliqués aux écritures de configuration par l’interface MCP.

Action recommandée

Mettre à niveau Nginx UI vers la version 2.4.1 ou ultérieure.

Sources

NVD — CVE-2026-84319

Priorisation DFS : P3 · 1 source(s).