Nginx UI: Cross-Site Request Forgery in der API-Authentifizierung
Zusammenfassung
Nginx UI in den Versionen 2.0.0 bis 2.5.0 akzeptiert das im Browser gespeicherte Token-Cookie als API-Credential. Da Verwaltungsendpunkte nicht durchgehend CSRF-Token oder Origin-/Referer-Prüfungen erzwingen, kann ein Angreifer den Browser eines angemeldeten Administrators zu zustandsverändernden Anfragen veranlassen. Der Angreifer kann Nginx-Konfigurationen ändern und Neuladungen auslösen, kann die Antworten jedoch nicht lesen. Voraussetzung ist, dass ein Administrator während der Anmeldung eine vom Angreifer kontrollierte Seite besucht und das Konto kein OTP/Passkey verwendet oder der Zielendpunkt keinen Secure-Session-Nachweis verlangt.
Betroffen
- Nginx UI (0xJacky) ab 2.0.0 bis unter 2.5.0
Behoben in
- Behoben in Version 2.5.0
Umgehung
Unbekannt.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- CISA KEV: nicht gelistet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Nginx-UI-Instanzen inventarisieren und die Version prüfen.
- Auf Nginx UI 2.5.0 oder neuer aktualisieren.
- OTP/Passkey für alle Administratorkonten aktivieren.
- Zugriff auf die Verwaltungsoberfläche auf Management-Netze beschränken (VPN oder IP-Allowlist).
- Administratoren anweisen, während der Anmeldung bei Nginx UI keine unbekannten Webseiten zu besuchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-33rr-wq23-g6gg github.com
- Nginx UI release v2.5.0 github.com
- Fix commit a3999bd github.com
- OSV CVE-2026-107809 osv.dev
- GitLab Advisory CVE-2026-107809 advisories.gitlab.com
- VulDB 415949 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.