Nginx UI : contournement de la validation des configurations via MCP

Veille sécuritéBackend & données

P3Élevée

Dans Nginx UI, l’outil MCP `nginx_config_add` pouvait écrire et recharger une configuration sans valider les directives dangereuses, contrairement à l’API REST. Un utilisateur authentifié pouvait ainsi contourner les protections et, lorsque certains modules Nginx étaient chargés, parvenir à une exécution de code à distance; mettre à jour vers la version 2.4.1.

IdentifiantCVE-2026-84318

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif2.4.1

Source : NVD — CVE-2026-84318

Analyse technique

Le chemin MCP ne fait pas appel à `config.ValidateConfigFile`; les directives bloquées peuvent donc être écrites et appliquées. L’exécution de code dépend de la présence de modules Nginx tels que Perl, njs ou Lua.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une publication le 2026-10-12 à 21:17:22.360Z, soit le 2026-10-12 à 23:17:22.360+02:00, dans la période demandée.

ImpactUn utilisateur authentifié peut appliquer des directives Nginx interdites; sur les installations avec certains modules chargés, cela peut permettre une exécution de code à distance.

Versions affectéesNginx UI de 2.0.0-rc.6 à 2.4.0

Version corrigée2.4.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

Publication2026-10-12T23:17:22.360+02:00

Mise à jour2026-10-12T23:17:22.360+02:00

Détection / vérification

Vérifier la version de Nginx UI et comparer les protections du point d’accès MCP nginx_config_add à celles de l’API REST.

Action recommandée

Mettre à jour Nginx UI vers la version 2.4.1.

Sources

NVD — CVE-2026-84318

Priorisation DFS : P3 · 1 source(s).