CVE-2026-102334
WysokieCVSS 7.4Streszczenie
Nginx Proxy Manager do wersji 2.16.0 nie stosuje ograniczania szybkości na punktach końcowych uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na nieograniczone zgadywanie haseł dla dowolnego konta. Atakujący mogą brute-force'ować dane logowania przez POST /api/tokens, a następnie zgadywać kody TOTP przez POST /api/tokens/2fa, aby uzyskać pełny dostęp sesyjny i kontrolę administracyjną.
Ocena ryzyka
Brak ograniczania szybkości umożliwia atakującym przeprowadzanie ataków brute-force na hasła i kody 2FA, co może skutkować pełnym przejęciem konta administracyjnego i kontrolą nad systemem.
Rekomendacja
Zaktualizuj Nginx Proxy Manager do wersji nowszej niż 2.16.0, jeśli jest dostępna, oraz wdroż ograniczanie szybkości na punktach końcowych uwierzytelniania. Rozważ także wdrożenie dodatkowych mechanizmów ochrony, takich jak blokada konta po nieudanych próbach logowania.
Inne podatności w Nginx Proxy Manager
Zobacz wszystkie- CVE-2026-102335Wysokie
Nginx Proxy Manager do wersji 2.16.0 nie ogranicza pola advanced_config wyłącznie do administratorów, co pozwala użytkownikom bez uprawnień administracyjnych, ale z uprawnieniami do zarządzania, wstrzykiwać dowolne dyrektywy nginx. Atakujący mogą wstrzyknąć złośliwą konfigurację nginx, taką jak dyrektywy alias, aby udostępniać dowolne pliki lub kontrolować routing dla przypisanych im hostów.
- CVE-2026-50892Średnie
W Nginx Proxy Manager v2.14.0 występuje nieprawidłowa kontrola dostępu w punkcie pobierania certyfikatów 'Let's Encrypt', co pozwala uwierzytelnionym atakującym na uzyskanie prywatnych kluczy TLS za pomocą spreparowanego żądania GET.
- CVE-2026-40519Wysokie
Nginx Proxy Manager w wersjach 2.9.14 do 2.15.1 zawiera podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie poleceń systemu operacyjnego w funkcji setupCertbotPlugins(). Atakujący z uprawnieniami certificates:manage może przechowywać złośliwy ładunek w polu dns_provider_credentials, który jest bezpośrednio interpolowany do polecenia powłoki bez sanityzacji, co prowadzi do wykonania dowolnych poleceń po restarcie backendu.
Oryginalny opis (angielski, źródło NVD)
Nginx Proxy Manager through 2.16.0 lacks rate-limiting on authentication endpoints, allowing unauthenticated attackers to make unlimited password guesses against any account. Attackers can brute-force login credentials via POST /api/tokens and subsequently guess TOTP codes via POST /api/tokens/2fa to gain full session access and administrative control.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS