Nginx UI: Fehlende erneute Authentifizierung bei TOTP- und Passkey-Registrierung
Zusammenfassung
Nginx UI, eine Weboberfl\u00e4che zur Verwaltung des Nginx-Webservers, erlaubt angemeldeten Benutzern, TOTP- und Passkey-Faktoren f\u00fcr ihr Konto zu registrieren. Vor Version 2.4.1 verlangen die Registrierungs-Endpunkte weder das aktuelle Passwort noch eine sichere Sitzung. Ein Angreifer mit einem gestohlenen JWT kann eigene TOTP-Geheimnisse oder Passkeys hinterlegen, die auch einen Passwortwechsel \u00fcberdauern und die Anmeldung des rechtm\u00e4ssigen Benutzers st\u00f6ren k\u00f6nnen.
Betroffen
- 0xJacky Nginx UI, alle Versionen vor 2.4.1
Behoben in
- Version 2.4.1 (Fix-Commit 23d1934099b05b2a01589b48129dc3d3159d91c2)
- Laut Herstellerangaben deckt die Routen-\u00c4nderung Konten ohne OTP allein m\u00f6glicherweise nicht ab; vor dem Vertrauen auf 2.4.1 allein beim Hersteller-Advisory best\u00e4tigen
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar, totale technische Auswirkung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; in den gepr\u00fcften Quellen nicht im CISA-KEV-Katalog
- Kein \u00f6ffentlicher Proof-of-Concept in Prim\u00e4rquellen best\u00e4tigt
Unsere Empfehlung
- Auf Version 2.4.1 oder neuer aktualisieren und im Hersteller-Advisory GHSA-gfrc-g87h-7h5w die neueste korrigierte Version pr\u00fcfen
- Nach dem Patch jedes Konto auf TOTP- oder Passkey-Eintr\u00e4ge pr\u00fcfen, die der Benutzer nicht kennt
- Nach dem Patch das JwtSecret rotieren, damit gestohlene JWTs ung\u00fcltig werden
- Zugriff auf die Administrationsoberfl\u00e4che auf ein VPN oder eine IP-Allowlist beschr\u00e4nken
- Logs auf Registrierungsanfragen aus unbekannten Quellen \u00fcberwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 23d1934 (GitHub) github.com
- Release v2.4.1 (GitHub) github.com
- Security advisory GHSA-gfrc-g87h-7h5w (GitHub) github.com
- CVE-2026-84313 (OSV) osv.dev
- CVE-2026-84313 (OpenCVE) app.opencve.io
- Release v2.5.1 (GitHub) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:22.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.