Nginx UI: Node Secret über URL-Query-Parameter offengelegt

Zusammenfassung

Nginx UI, eine Weboberfläche für den Nginx-Webserver, akzeptiert das Master-Credential Node.Secret als URL-Query-Parameter node_secret bei der HTTP- und WebSocket-Authentifizierung. Solche URLs werden in Access-Logs, Proxy-Logs, Browserverlauf und Referer-Headern aufgezeichnet, und die Cluster-Konfiguration bettet das Secret in URLs ein, die in app.ini und Umgebungsvariablen gespeichert werden. Ein Angreifer, der das Secret erhält, umgeht Passwort-, JWT-, Session- und Zwei-Faktor-Prüfungen und erhält dauerhaften administrativen API-Zugriff, einschliesslich Konfiguration und Secret-Material. Der Angreifer muss das Secret zuerst erlangen, etwa durch das Lesen von Logs oder Konfigurationsdateien; der CVSS-Vektor setzt niedrige Berechtigungen voraus (PR:L).

Betroffen

• Nginx UI (0xJacky/nginx-ui) Versionen 2.0.0 bis, aber ohne, 2.5.0
• Cluster-Installationen, die Node-URLs mit node_secret in app.ini oder NGINX_UI_CLUSTER_NODE verwenden

Behoben in

• Nginx UI 2.5.0
• v2.5.1 ist ein Hotfix, der alle Änderungen aus v2.5.0 enthält; empfohlen wird das neueste 2.5.x-Release

Umgehung

Keine Workaround-Massnahme vom Hersteller dokumentiert. Netzwerkzugriff auf die Nginx-UI-Oberfläche einschränken und Logs mit node_secret entfernen oder einschränken, bis das Update eingespielt ist.

Ausnutzung

• CISA-SSVC-Angaben im CVE-Eintrag: Exploitation 'poc', Automatable: no, Technical Impact: total
• In der Recherche wurde kein Hinweis auf aktive Ausnutzung und kein öffentlicher Proof of Concept gefunden; der Status im CISA-KEV-Katalog wurde nicht direkt geprüft

Unsere Empfehlung

• Auf Nginx UI 2.5.0 oder neuer aktualisieren, vorzugsweise auf das neueste 2.5.x-Release
• Nach dem Update das Node-Secret (NGINX_UI_NODE_SECRET) und das JwtSecret (NGINX_UI_APP_JWT_SECRET) ersetzen und den Dienst neu starten; in Clustern zuerst prüfen, ob die Node-Beziehungen 'Paired signature' anzeigen
• In Nginx UI gespeicherte Zugangsdaten für nachgelagerte Systeme rotieren und Administratorkonten sowie Zugriffslogs auf unautorisierte Aktivitäten prüfen
• Access-, Proxy- und Anwendungslogs nach node_secret= durchsuchen und diese Einträge löschen oder einschränken
• Zugriff auf die Nginx-UI-Oberfläche auf vertrauenswürdige Netzwerke beschränken

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-pvgv-gcp7-v38g github.com
• Nginx UI release v2.5.0 github.com
• Nginx UI release v2.5.1 github.com
• Fix commit a3999bd78a3b97ab22e6b5e9fd478ac57598a954 github.com
• OSV entry CVE-2026-107807 osv.dev
• GitLab advisory CVE-2026-107807 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:52.