CVE-2024-49368

Опубликовано: 21 окт. 2024

Источник: nvd

CVSS3: 9.8

EPSS Средний

Описание

Nginx UI is a web user interface for the Nginx web server. Prior to version 2.0.0-beta.36, when Nginx UI configures logrotate, it does not verify the input and directly passes it to exec.Command, causing arbitrary command execution. Version 2.0.0-beta.36 fixes this issue.

Ссылки

https://github.com/0xJacky/nginx-ui/releases/tag/v2.0.0-beta.36
Release Notes
https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-66m6-27r9-77vm
Exploit
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:nginxui:nginx_ui:*:*:*:*:*:*:*:*

Версия до 1.9.9-4 (включая)

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta1:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta10:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta10_patch:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta11:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta12:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta13:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta13-patch:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta14:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta15:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta16:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta17:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta18:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta18-patch1:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta18-patch2:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta19:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta2:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta20:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta21:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta22:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta23:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta23-patch1:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta23-ptach2:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta24:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta25:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta25-patch1:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta25-ptach2:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta27:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta28:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta29:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta3:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta30:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta31:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta32:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta32-patch1:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta33:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta34:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta35:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta4:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta4_patch:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta5:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta5_patch:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta6:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta6_patch:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta6_patch2:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta7:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta8:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta8_patch:*:*:*:*:*:*

cpe:2.3:a:nginxui:nginx_ui:2.0.0:beta9:*:*:*:*:*:*

EPSS

Процентиль: 99%

0.67525

Средний

9.8 Critical

CVSS3

Дефекты

CWE-20

NVD-CWE-noinfo

Связанные уязвимости

BDU:2024-08643