CVE-2026-40519

Nome do Software Vulnerável e Versões Afetadas Nginx Proxy Manager versões 2.9.14 through 2.15.1

Description Um problema de execução remota de código autenticada existe via injeção de comando de SO na função setupCertbotPlugins() localizada em backend/setup.js. Atacantes com permissões certificates:manage podem executar comandos arbitrários ao armazenar uma carga útil maliciosa no campo dns provider credentials. Isso ocorre porque o valor dns provider credentials controlado pelo usuário é interpolado diretamente em um comando de shell executado via child process.exec() sem a devida sanitização ou escape, resultando na execução do comando ao reiniciar o backend. Atividades ofensivas no mundo real visando este problema foram identificadas.

Recommendations Atualize o Nginx Proxy Manager para uma versão que inclua o commit a5db5ed. Restrinja o acesso ao campo dns provider credentials para minimizar o risco de exploração.