Më 9 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-p393-cf76-4jmr (CVE-2026-107806) për një dobësi me rrezikshmëri kritike (CVSS 9.0) në paketën github.com/0xJacky/Nginx-UI të ekosistemit Go.
Paketat e prekura
- github.com/0xJacky/Nginx-UI (Go) — versionet e prekura:
>= 1.9.10-0.20260421071512-7864e378f5cf, < 1.9.10-0.20260728074146-a467ed652591; versioni me rregullim:1.9.10-0.20260728074146-a467ed652591
Detaje
- Rrezikshmëria: Kritike (CVSS 9.0)
- CWE: CWE-94 (Improper Control of Generation of Code ('Code Injection'))
- Identifikuesit: GHSA-p393-cf76-4jmr, CVE-2026-107806
Përmbledhja zyrtare
NGINX UI: Authenticated Remote Code Execution via Backup Restore App Config Overwrite — Summary Një përdorues i vërtetuar nginx-ui mund të telefonojë POST /api/restore , të ngarkojë një kopje rezervë të koduar të falsifikuar, të rivendosë app.ini, të vendosë cilësimet e komandës NGINX si TestConfigCmd dhe më pas të shkaktojë ekzekutimin e komandës me POST /api/nginx/test . Kjo u vërtetua në nginx-ui 2.3.11 2(523) 6c86e5a5 në kontejnerin lokal Docker uozi/nginx-ui: të fundit . Ndikimi Një përdorues i vërtetuar mund të mbishkruajë konfigurimin e aplikacionit nginx-ui dhe gjendjen e bazës së të dhënave përmes restore, duke përfshirë cilësimet e mbrojtura që normalisht nuk mund të shkruhen përmes API-së së cilësimeve. Duke vendosur komandën NGINX…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/0xJacky/Nginx-UI, përditësojeni sa më shpejt në versionin 1.9.10-0.20260728074146-a467ed652591 ose më të ri.
