CVE-2026-42220

Nome do Software Vulnerável e Versões Afetadas Nginx UI versões anteriores a 2.3.8

Descrição Um usuário autenticado pode acessar o endpoint 'GET /api/settings' para recuperar valores de configuração sensíveis, como node.secret. Este segredo é aceito pela função AuthRequired() por meio do cabeçalho 'X-Node-Secret' ou do parâmetro de consulta node secret, permitindo que as solicitações sejam tratadas como autenticadas via caminho de nó confiável (trusted-node path) e associadas ao usuário init.

Recomendações Atualizar para a versão 2.3.8.