Veille sécuritéBackend & données
P3Élevée
Dans Nginx UI avant 2.4.1, plusieurs routes de modification ne demandent pas la session renforcée attendue pour les utilisateurs ayant activé OTP. Une session authentifiée dérobée peut alors servir à modifier des paramètres sensibles, notamment les sauvegardes, certificats et configurations ; mettre à jour vers 2.4.1.
Nginx
IdentifiantCVE-2026-84315
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84315
Analyse technique
Plusieurs routes de mutation authentifiées n’appliquent pas RequireSecureSession et n’exigent donc pas le X-Secure-Session-ID récent attendu pour les opérations sensibles.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-12 à 21:17:21.900Z, dans la période demandée. L’élément concerne Nginx UI, et non une vulnérabilité du serveur Nginx lui-même.
ImpactUn détenteur d’une session volée peut modifier plusieurs paramètres sensibles et automatisations.
Versions affectéesNginx UI avant 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.3
Publication2026-10-12T21:17:21.900Z
Mise à jour2026-10-12T21:17:21.900Z
Détection / vérification
Vérifier la version de Nginx UI et l’application de RequireSecureSession aux routes de modification mentionnées dans l’avis.
Action recommandée
Mettre à jour Nginx UI vers 2.4.1.
Sources
Priorisation DFS : P3 · 1 source(s).