Veille sécuritéBackend & données
P4Moyenne
Dans Nginx UI antérieur à 2.4.1, la révocation des jetons ne supprimait pas toujours du cache les jetons courts créés sans jeton long associé. Si le compte correspondant était réactivé avant l’expiration de l’entrée en cache, le jeton court révoqué pouvait de nouveau authentifier des requêtes HTTP ou WebSocket; mettre à jour vers la version 2.4.1.
Nginx
IdentifiantCVE-2026-84321
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84321
Analyse technique
L’invalidation du cache dépendait de la présence du champ `Token` long; les enregistrements de jetons courts autonomes pouvaient survivre à la révocation jusqu’à l’expiration de l’entrée en cache.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-12 à 21:17:22.817Z, soit le 2026-10-12 à 23:17:22.817+02:00, dans la période demandée.
ImpactUn jeton court révoqué peut permettre une nouvelle authentification sur des routes HTTP ou WebSocket acceptant ce type de jeton, si le compte est réactivé avant l’expiration du cache.
Versions affectéesNginx UI antérieur à 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-12T23:17:22.817+02:00
Mise à jour2026-10-12T23:17:22.817+02:00
Action recommandée
Mettre à jour Nginx UI vers la version 2.4.1.
Sources
Priorisation DFS : P4 · 1 source(s).