CVE-2026-40519
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Wersje Nginx Proxy Manager od 2.9.14 do 2.15.1 zawierają podatność na zdalne wykonanie kodu z uwierzytelnieniem poprzez wstrzyknięcie polecenia OS w funkcji setupCertbotPlugins(). Umożliwia to atakującym z uprawnieniami do zarządzania certyfikatami wykonanie dowolnych poleceń.
Ocena ryzyka
Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa, umożliwiając atakującym zdalne wykonywanie kodu na serwerze, co może skutkować utratą danych lub przejęciem kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Nginx Proxy Manager do wersji, w której podatność została naprawiona, oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do funkcji zarządzania certyfikatami.
Oryginalny opis (angielski, źródło NVD)
Nginx Proxy Manager versions 2.9.14 through 2.15.1, fixed in commit a5db5ed, contain an authenticated remote code execution vulnerability via OS command injection in the setupCertbotPlugins() function in backend/setup.js, allowing attackers with certificates:manage permission to execute arbitrary commands by storing a malicious payload in the dns_provider_credentials field. The user-controlled dns_provider_credentials value is interpolated directly into a shell command executed via child_process.exec() without sanitization or escaping, causing the injected command to execute upon backend restart.