CVE-2026-102334 Falta de protección contra fuerza bruta en Nginx Proxy Manager hasta 2.16.0
Nginx Proxy Manager hasta 2.16.0 no aplica límites de tasa en los endpoints de autenticación, lo que permite a atacantes no autenticados probar contraseñas sin límite contra cualquier cuenta. Pueden adivinar credenciales vía POST /api/tokens y luego códigos TOTP vía POST /api/tokens/2fa para obtener acceso total a la sesión y control administrativo.
CVSS 3.1
- CVSS 4.09.1 · crítica
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 39
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
NginxProxyManager nginx-proxy-manager
hasta 2.16.0
Qué hacer
- Verificá si usás nginx-proxy-manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 7.4 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 9.1 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Nginx Proxy Manager through 2.16.0 lacks rate-limiting on authentication endpoints, allowing unauthenticated attackers to make unlimited password guesses against any account. Attackers can brute-force login credentials via POST /api/tokens and subsequently guess TOTP codes via POST /api/tokens/2fa to gain full session access and administrative control.
Referencias (6)
- github.com/NginxProxyManager/nginx-proxy-manager/pull/5908
- github.com/NginxProxyManager/nginx-proxy-manager/blob/v2.16.0/backend/app.js#L15-L58
- github.com/NginxProxyManager/nginx-proxy-manager/blob/v2.16.0/backend/internal/token.js#L…
- github.com/NginxProxyManager/nginx-proxy-manager/blob/v2.16.0/backend/internal/2fa.js#L19…
- github.com/NginxProxyManager/nginx-proxy-manager
- www.vulncheck.com/advisories/nginx-proxy-manager-through-2.16.0-missing-brute-force-prote…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.