Nginx UI: Fehlende OTP-Prüfung bei Cluster-Node- und Reload-Routen
Zusammenfassung
Nginx UI 2.0.0 bis 2.4.x stellt über den Router api/cluster die Verwaltung von Cluster-Nodes, Änderungen an Namespaces sowie das clusterweite Neuladen und Neustarten von nginx bereit. Diese Routen erfordern nur einen gültigen JWT und erzwingen nicht die Secure-Session-Prüfung (OTP-Step-up), die die Einzel-Node-Routen schützt. Ein authentifizierter Benutzer mit aktivierter OTP-Authentifizierung und einem gestohlenen oder gespeicherten JWT kann daher Node-Zugangsdaten lesen und ersetzen, Nodes und Namespaces ändern sowie nginx auf allen Cluster-Nodes neu laden oder neu starten. Dies ist eine unvollständige Korrektur von CVE-2026-84315.
Betroffen
- Nginx UI (0xJacky/nginx-ui) Versionen 2.0.0 bis einschliesslich 2.4.x, also vor 2.5.0
- Nur im Cluster-Modus relevant, über die Routen von api/cluster
Behoben in
- Behoben in Version 2.5.0 (vom Hersteller veröffentlicht)
- Auf Version 2.5.0 oder neuer aktualisieren; neuere Versionen des Herstellers enthalten diese Korrektur ebenfalls
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt; das Aktualisieren ist die Behebung
- Zugriff auf das Administrationsinterface einschränken (VPN, IP-Allowlist oder Authentifizierung am Reverse Proxy)
Ausnutzung
- CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept und keine bekannte Ausnutzung gefunden
Unsere Empfehlung
- Nginx UI auf Version 2.5.0 oder neuer aktualisieren und nach neueren Versionen suchen
- Nach dem Update das Node-Secret und das JWT-Secret der Anwendung rotieren, damit bereits ausgestellte JWTs ungültig werden
- Administratorkonten, Node-Konfigurationen und Zugriffsprotokolle auf unautorisierte Änderungen prüfen
- Das Administrationsinterface nicht aus dem Internet erreichbar machen; für Administratoren Passkey oder OTP erzwingen
- Die Advisory-Liste des Herstellers auf Folgemeldungen zur gleichen Step-up-Lücke prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-h246-wpgf-vmq5 github.com
- Fix commit a3999bd github.com
- Nginx UI release v2.5.0 github.com
- OSV entry GHSA-h246-wpgf-vmq5 osv.dev
- OSV entry CVE-2026-107813 osv.dev
- CVE-2026-107813 mirror record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.