Veille sécuritéBackend & données
P3Élevée
Avant Nginx UI 2.4.1, l’intégration Casdoor utilisait une valeur OAuth `state` constante et ne la liait pas à la session du navigateur ayant lancé l’authentification. Un attaquant non authentifié pouvait ainsi amener une victime à terminer un flux d’autorisation contrôlé par l’attaquant et obtenir une session Nginx UI associée à l’identité renvoyée.
Nginx
IdentifiantCVE-2026-84312
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84312
Analyse technique
Le callback Casdoor ne vérifie pas que le `state` soumis correspond à une valeur liée au navigateur ayant initié la connexion.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-12 à 22:17:05 UTC, soit le 2026-10-13 à 00:17:05 en +02:00, dans la période demandée. La modification NVD du 2026-10-13 n’est pas retenue comme événement distinct.
ImpactUne victime peut être connectée à Nginx UI sous l’identité choisie par l’attaquant.
Versions affectéesNginx UI antérieur à 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
EPSS0,18% · percentile 6,5%
Publication2026-10-13T00:17:05.263+02:00
Mise à jour2026-10-13T16:31:20.750+02:00
Action recommandée
Mettre à niveau Nginx UI vers la version 2.4.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).