CVE-2026-107807

Nome do Software Vulnerável e Versões Afetadas Nginx UI versões 2.0.0 a 2.5.0

Descrição O Nginx UI aceita a credencial mestre Node.Secret através do parâmetro de consulta node secret em caminhos de autenticação HTTP e WebSocket, em vez de exigir o cabeçalho X-Node-Secret. Isso permite que a credencial seja exposta em texto simples em logs de acesso, logs de proxy, histórico do navegador, cabeçalhos Referer, URLs de configuração e dados de ambiente de implantação, como o arquivo app.ini e variáveis de ambiente. Um invasor que obtenha esse segredo pode ignorar a autenticação por senha, JWT, sessão e segundo fator para obter acesso administrativo persistente à API. Esse acesso permite a leitura de chaves privadas TLS, a modificação de configurações do Nginx e, potencialmente, a execução de código no nível do sistema operacional. O problema está fundamentado na função getNodeSecret() e na função isTrustedNodeRequest(), que permitem que a variável node secret seja lida a partir da string de consulta da URL.

Recomendações Atualize o Nginx UI para a versão 2.5.0. Como mitigação temporária, evite usar o parâmetro node secret em URLs e garanta que o cabeçalho X-Node-Secret seja utilizado para autenticação.