CVE-2026-107806

GitHubCrítica, go

Nginx UI: execução remota de código autenticada via sobrescrita de configuração de app no restore de backup

Traduzido automaticamente do inglês.

Um usuário autenticado do nginx-ui pode chamar POST /api/restore, enviar um backup criptografado forjado, restaurar app.ini, definir configurações de comando nginx como TestConfigCmd e, em seguida, acionar a execução do comando com POST /api/nginx/test.

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.0 (v4.0)
EPSS: 0,41% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: github.com/0xJacky/Nginx-UI (go) >= 1.9.10-0.20260421071512-7864e378f5cf, < 1.9.10-0.20260728074146-a467ed652591, corrigido em 1.9.10-0.20260728074146-a467ed652591 · GHSA-p393-cf76-4jmr