CVE-2026-33031
Nginx-UI: Disabled users retain full API access through previously issued bearer tokens
Что произошло
Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.4, a user who was disabled by an administrator can use previously issued API tokens for up to the token lifetime. In practice, disabling a compromised account does not actually terminate that user’s access, so an attacker who already stole a JWT can continue reading and modifying protected resources after the account is marked disabled. Since tokens can be used to create new accounts, it is possible the disabled user to maintain the privilege. Version 2.3.4 patches the issue.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
0xJacky / nginx-ui
{
"status": "affected",
"version": "< 2.3.4"
}nginxui / nginx_ui
{
"status": "affected",
"version": "*",
"versionEndExcluding": "2.3.4"
}cpe:2.3:a:nginxui:nginx_ui:*:*:*:*:*:*:*:*
CVSS: оценки и векторы
CVSS 4.0 · cve8.6
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
CVSS 4.0 · security-advisories@github.com8.6
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CVSS 3.1 · nvd@nist.gov8.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:16:30.403794+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T19:52:27.311028+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T19:52:27.311028+00:00"
},
"affected": [
"cve",
"nvd"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T19:52:27.311028+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:16:30.403794+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T19:52:27.311028+00:00"
},
"workarounds": [],
"configurations": [
"nvd"
]
}Хронология записи
- Данные обновлены05.11.2026, 00:16
- Данные обновлены04.11.2026, 00:13
- Данные обновлены03.11.2026, 00:12
- Данные обновлены02.11.2026, 00:10
- Данные обновлены31.10.2026, 11:58
- Данные обновлены28.10.2026, 22:52
- Данные обновлены28.10.2026, 18:06
- Появилась ссылка на PoC28.10.2026, 15:11
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2024-49368 Unchecked logrotate settings lead to arbitrary command execution 0xJacky / nginx-ui · nginxui / nginx_ui | Критический | 8.9 | 27,67 % | PoC | 21.10.2024 | |
| CVE-2026-84313 Nginx UI: TOTP / passkey enrolment requires no re-authentication, enabling persistent account takeover 0xJacky / nginx-ui · github.com/0xJacky/Nginx-UI | Критический | 8.8 | 0,54 % | PoCПатч | 12.10.2026 | |
| CVE-2026-84312 Nginx UI: Casdoor SSO callback uses a constant `state` parameter (login CSRF) 0xJacky / nginx-ui · github.com/0xJacky/Nginx-UI | Высокий | 7.1 | 0,17 % | Патч | 13.10.2026 | |
| CVE-2026-34403 Nginx-UI vulnerable to Cross-Site WebSocket Hijacking (CSWSH) via missing origin validation on all WebSocket endpoints 0xJacky / nginx-ui · nginxui / nginx_ui | Высокий | 5.5 | 0,18 % | PoC | 20.04.2026 | |
| CVE-2026-42220 nginx-ui: Authenticated settings disclosure exposes node.secret and enables trusted-node authentication abuse, backup exfiltration, and restore-based nginx-ui state rollback 0xJacky / nginx-ui · nginxui / nginx_ui | Высокий | 6.5 | 0,3 % | PoC | 04.05.2026 |