CVE-2026-40519

WysokieCVSS 7.5

Opublikowano: 08/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.92%

Percentyl 57 - wyżej niż 57% wszystkich znanych CVE

Streszczenie

Nginx Proxy Manager w wersjach 2.9.14 do 2.15.1 zawiera podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie poleceń systemu operacyjnego w funkcji setupCertbotPlugins(). Atakujący z uprawnieniami certificates:manage może przechowywać złośliwy ładunek w polu dns_provider_credentials, który jest bezpośrednio interpolowany do polecenia powłoki bez sanityzacji, co prowadzi do wykonania dowolnych poleceń po restarcie backendu.

Ocena ryzyka

Ryzyko obejmuje pełne przejęcie serwera, utratę poufności, integralności i dostępności danych oraz możliwość dalszego ruchu bocznego w sieci.

Rekomendacja

Zaleca się natychmiastową aktualizację do wersji zawierającej commit a5db5ed lub nowszej oraz ograniczenie uprawnień certificates:manage tylko do zaufanych użytkowników.

Inne podatności w Nginx Proxy Manager

CVE-2026-50892Średnie
W Nginx Proxy Manager v2.14.0 występuje nieprawidłowa kontrola dostępu w punkcie pobierania certyfikatów 'Let's Encrypt', co pozwala uwierzytelnionym atakującym na uzyskanie prywatnych kluczy TLS za pomocą spreparowanego żądania GET.

Oryginalny opis (angielski, źródło NVD)

Nginx Proxy Manager versions 2.9.14 through 2.15.1, fixed in commit a5db5ed, contain an authenticated remote code execution vulnerability via OS command injection in the setupCertbotPlugins() function in backend/setup.js, allowing attackers with certificates:manage permission to execute arbitrary commands by storing a malicious payload in the dns_provider_credentials field. The user-controlled dns_provider_credentials value is interpolated directly into a shell command executed via child_process.exec() without sanitization or escaping, causing the injected command to execute upon backend restart.