PT-2026-33844 · Nginx-Ui · Nginx-Ui

Publicado 2026-04-20 · Atualizado 2026-04-28 · CVE-2026-33031

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions Nginx UI versões anteriores a 2.3.4

Description Um usuário desativado por um administrador pode continuar usando tokens de API emitidos anteriormente até que o tempo de vida do token expire. Isso ocorre porque a autenticação baseada em token não verifica a variável user.Status, ao contrário do processo de login. Consequentemente, um invasor com um JSON Web Token (JWT) roubado — um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes — pode continuar lendo e modificando recursos protegidos. Além disso, como esses tokens podem ser usados para criar novas contas, um usuário desativado pode manter seus privilégios indefinidamente.

Recommendations Atualizar para a versão 2.3.4.

Correção

Incorrect Authorization

Improper Access Control

Enumeração de Fraquezas

CWE-863

CWE-284

Identificadores relacionados

CVE-2026-33031

GHSA-X234-X5VQ-CC2V

Produtos afetados

Nginx-Ui

Referências · 8

• https://github.com/0xJacky/nginx-ui/releases/tag/v2.3.4 · Nota
• https://github.com/0xJacky/nginx-ui · Nota
• https://github.com/0xJacky/nginx-ui/commit/7b66578adb47bbec839b621a4666495249379174 · Nota
• https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-x234-x5vq-cc2v · Aviso do Fabricante
• https://twitter.com/_cvereports/status/2049063863425868208 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-33031 · Nota de Segurança
• https://twitter.com/CVEnew/status/2046571901095735755 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x234-x5vq-cc2v · Aviso do Fabricante