Veille sécuritéBackend & données
P3Élevée
Avant Nginx UI 2.4.1, les routes MCP de modification de configuration exigeaient une authentification ordinaire mais pas la session sécurisée renforcée requise par les routes HTTP correspondantes. Un utilisateur disposant d’un JWT valide mais dépourvu de session sécurisée pouvait donc contourner cette étape de contrôle et modifier la configuration Nginx via MCP; mettre à jour vers la version 2.4.1.
Nginx
IdentifiantCVE-2026-84360
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.1
Source : NVD — CVE-2026-84360
Analyse technique
Les routes `/mcp` et `/mcp_message` exposaient les outils de modification de configuration sans exiger `X-Secure-Session-ID`, contrairement aux routes HTTP de mutation.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-12 à 21:17:22.960Z, soit le 2026-10-12 à 23:17:22.960+02:00, dans la période demandée.
ImpactUn utilisateur authentifié sans session sécurisée renforcée peut modifier la configuration Nginx via MCP.
Versions affectéesNginx UI antérieur à 2.4.1
Version corrigée2.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
Publication2026-10-12T23:17:22.960+02:00
Mise à jour2026-10-12T23:17:22.960+02:00
Action recommandée
Mettre à jour Nginx UI vers la version 2.4.1.
Sources
Priorisation DFS : P3 · 1 source(s).