Veille sécuritéBackend & données
P3Élevée
Dans Nginx UI avant 2.4.1, un utilisateur authentifié peut modifier le mot de passe d’un autre utilisateur via POST /api/users/:id sans le contrôle de session renforcée. Cette faille peut permettre de prendre le contrôle du compte administrateur initial ; mettre à jour vers 2.4.1.
Nginx
IdentifiantCVE-2026-84314
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84314
Analyse technique
La route de modification d’un autre utilisateur ne passe pas par RequireSecureSession, contrairement au parcours de changement de mot de passe de l’utilisateur lui-même.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-12 à 21:17:21.753Z, dans la période demandée. L’élément porte sur Nginx UI, logiciel de gestion de Nginx.
ImpactUn compte authentifié peut permettre de réinitialiser le mot de passe de l’administrateur initial et d’accéder à son compte.
Versions affectéesNginx UI avant 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-12T21:17:21.753Z
Mise à jour2026-10-12T21:17:21.753Z
Détection / vérification
Vérifier la version de Nginx UI et les contrôles RequireSecureSession appliqués à la route de gestion des utilisateurs.
Action recommandée
Mettre à jour Nginx UI vers 2.4.1.
Sources
Priorisation DFS : P3 · 1 source(s).