Dans Nginx UI avant 2.4.1, la validation de configuration peut ne vérifier que le premier jeton d’une ligne et être contournée par des directives supplémentaires séparées par des points-virgules ou chargées par include. Un utilisateur authentifié peut ainsi contourner les restrictions de directives, avec possibilité d’exécution de code selon les modules disponibles ; mettre à jour vers 2.4.1.
Source : NVD — CVE-2026-84316
Analyse technique
La validation ligne par ligne ignore les directives après le premier jeton, alors que Nginx accepte plusieurs directives séparées par des points-virgules sur une même ligne. Les chemins de modification concernés incluent les interfaces REST et les configurations de sites et de streams.
Impact, versions et correctif
Détection / vérification
Vérifier la version de Nginx UI et les validations appliquées aux configurations écrites via REST, nginx_config_modify, site et stream.
Action recommandée
Mettre à jour Nginx UI vers 2.4.1.
Sources
Priorisation DFS : P3 · 1 source(s).