BDU:2026-02720

Опубликовано: 05 мар. 2026

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость пользовательского интерфейса Nginx UI сервера nginx связана с отсутствием аутентификации для критичной функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации путем отправки специально сформированного GET-запроса

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Nginx UI

Версия ПО

до 2.3.3 (Nginx UI)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование SIEM-систем для отслеживания событий, связанных с обращением к прикладному программному интерфейсу backup;

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- ограничение доступа из внешних сетей (Интернет).

Использование рекомендаций:

https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-g9w5-qffc-6762

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-g9w5-qffc-6762

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-27944
CVE

EPSS

Процентиль: 97%

0.22162

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2026-27944

CVSS3: 9.8

nvd

6 месяцев назад

Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.3, the /api/backup endpoint is accessible without authentication and discloses the encryption keys required to decrypt the backup in the X-Backup-Security response header. This allows an unauthenticated attacker to download a full system backup containing sensitive data (user credentials, session tokens, SSL private keys, Nginx configurations) and decrypt it immediately. This issue has been patched in version 2.3.3.

GHSA-g9w5-qffc-6762

CVSS3: 9.8

github

6 месяцев назад

Nginx-UI Vulnerable to Unauthenticated Backup Download with Encryption Key Disclosure

EPSS

Процентиль: 97%

0.22162

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2