CVE-2026-40519
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Nginx Proxy Manager w wersjach 2.9.14 do 2.15.1 zawiera podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie poleceń systemu operacyjnego w funkcji setupCertbotPlugins(). Atakujący z uprawnieniami certificates:manage może przechowywać złośliwy ładunek w polu dns_provider_credentials, który jest bezpośrednio interpolowany do polecenia powłoki bez sanityzacji, co prowadzi do wykonania dowolnych poleceń po restarcie backendu.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie serwera, utratę poufności, integralności i dostępności danych oraz możliwość dalszego ruchu bocznego w sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji zawierającej commit a5db5ed lub nowszej oraz ograniczenie uprawnień certificates:manage tylko do zaufanych użytkowników.
Inne podatności w Nginx Proxy Manager
Zobacz wszystkie- CVE-2026-102335Wysokie
Nginx Proxy Manager do wersji 2.16.0 nie ogranicza pola advanced_config wyłącznie do administratorów, co pozwala użytkownikom bez uprawnień administracyjnych, ale z uprawnieniami do zarządzania, wstrzykiwać dowolne dyrektywy nginx. Atakujący mogą wstrzyknąć złośliwą konfigurację nginx, taką jak dyrektywy alias, aby udostępniać dowolne pliki lub kontrolować routing dla przypisanych im hostów.
- CVE-2026-102334Wysokie
Nginx Proxy Manager do wersji 2.16.0 nie stosuje ograniczania szybkości na punktach końcowych uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na nieograniczone zgadywanie haseł dla dowolnego konta. Atakujący mogą brute-force'ować dane logowania przez POST /api/tokens, a następnie zgadywać kody TOTP przez POST /api/tokens/2fa, aby uzyskać pełny dostęp sesyjny i kontrolę administracyjną.
- CVE-2026-50892Średnie
W Nginx Proxy Manager v2.14.0 występuje nieprawidłowa kontrola dostępu w punkcie pobierania certyfikatów 'Let's Encrypt', co pozwala uwierzytelnionym atakującym na uzyskanie prywatnych kluczy TLS za pomocą spreparowanego żądania GET.
Oryginalny opis (angielski, źródło NVD)
Nginx Proxy Manager versions 2.9.14 through 2.15.1, fixed in commit a5db5ed, contain an authenticated remote code execution vulnerability via OS command injection in the setupCertbotPlugins() function in backend/setup.js, allowing attackers with certificates:manage permission to execute arbitrary commands by storing a malicious payload in the dns_provider_credentials field. The user-controlled dns_provider_credentials value is interpolated directly into a shell command executed via child_process.exec() without sanitization or escaping, causing the injected command to execute upon backend restart.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS