CVE-2026-34403mediumCWE-1385

CVE-2026-34403: falha de média gravidade em 0xJacky nginx-ui

Nginx-UI vulnerable to Cross-Site WebSocket Hijacking (CSWSH) via missing origin validation on all WebSocket endpoints

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar nginx-ui+ Monitorar github.com/0xJacky/Nginx-UI

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.5epss 0.2%
Em resumo

O Nginx-UI permite que atacantes sequestrem conexões WebSocket de usuários autenticados ao enganá-los para visitar uma página maliciosa. Isso ocorre porque a aplicação não valida corretamente a origem das requisições WebSocket e armazena tokens de autenticação em cookies sem proteção adequada.

Detalhe técnico

A vulnerabilidade existe na configuração do gorilla/websocket Upgrader com CheckOrigin retornando incondicionalmente true, combinado com tokens de autenticação armazenados em cookies sem atributos HttpOnly e SameSite explícitos. Um atacante pode realizar CSWSH hospedando uma página maliciosa que estabeleça conexões WebSocket autenticadas para a instância nginx-ui de uma vítima quando um administrador logado visita o site do atacante, potencialmente levando a ações administrativas não autorizadas.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.5, all WebSocket endpoints in nginx-ui use a gorilla/websocket Upgrader with CheckOrigin unconditionally returning true, allowing Cross-Site WebSocket Hijacking (CSWSH). Combined with the fact that authentication tokens are stored in browser cookies (set via JavaScript without HttpOnly or explicit SameSite attributes), a malicious webpage can establish authenticated WebSocket connections to the nginx-ui instance when a logged-in administrator visits the attacker-controlled page. Version 2.3.5 patches the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:P
Produtos afetados
0xJacky · nginx-ui
CVEs relacionadas — 0xJacky nginx-ui

No mesmo produto, das mais perigosas para as menos.

CVE-2026-33032CRITICALNginx UI: Unauthenticated MCP Endpoint Allows Remote Nginx TakeoverEPSS 35.3%CVE-2024-49368HIGHUnchecked logrotate settings lead to arbitrary command executionEPSS 27.7%CVE-2026-27944CRITICALNginx UI: Unauthenticated Backup Download with Encryption Key DisclosureEPSS 22.8%CVE-2024-22198HIGHAuthenticated (user role) arbitrary command execution by modifying `start_cmd` setting (GHSL-2023-268)EPSS 4.1%CVE-2024-22197HIGHAuthenticated (user role) remote command execution by modifying `nginx` settings (GHSL-2023-269)EPSS 1.5%CVE-2026-42221HIGHnginx-ui: Unauthenticated First-Run Installer Allows Remote Initial Admin ClaimEPSS 1.3%