PT-2026-29092 · Nginx-Ui+1 · Nginx-Ui+1
Yotampe-Pluto
·
Publicado
2026-03-28
·
Atualizado
2026-06-16
·
CVE-2026-33032
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Nginx UI versões anteriores a 2.3.6
Descrição
Existe uma falha de bypass de autenticação na integração do Model Context Protocol (MCP) do Nginx UI. O software expõe dois endpoints HTTP: '/mcp' e '/mcp message'. Enquanto o '/mcp' requer tanto a lista branca de IP quanto a autenticação através do middleware
AuthRequired(), o endpoint '/mcp message' aplica apenas a lista branca de IP. Como a lista branca de IP padrão está vazia, o middleware a interpreta como "permitir todos", permitindo que qualquer invasor de rede invoque ferramentas MCP sem autenticação. Além disso, o endpoint '/api/mcp/invoke' não verifica tokens de sessão.Esta falha permite que invasores remotos assumam o controle total do serviço Nginx, realizando ações como reiniciar o Nginx, criar, modificar ou excluir arquivos de configuração e disparar recarregamentos automáticos de configuração. Aproximadamente 2.689 instâncias expostas foram identificadas em todo o mundo, com exploração ativa confirmada.
Recomendações
Atualize para a versão 2.3.6 do Nginx UI imediatamente.
Como medida paliativa temporária, desative completamente o serviço Nginx UI ou bloqueie o acesso à porta de gerenciamento no firewall de rede.
Exploit
Correção
LPE
RCE
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nginx
Nginx-Ui