CVE-2026-107806 Ejecución remota de código en Nginx UI mediante restauración de backup que sobrescribe app.ini

Qué es CVE-2026-107806

De 2.3.8 hasta 2.5.0, un administrador autenticado con sesión segura activa puede enviar material de clave de backup portable y un manifiesto a POST /api/restore. El flujo de restauración confía en la clave, descifra contenido controlado por el atacante y reemplaza el app.ini activo, incluidos comandos protegidos de nginx como TestConfigCmd; luego POST /api/nginx/test ejecuta el comando restaurado. Se corrige en la versión 2.5.0.

Productos y versiones afectadas

• 0xJacky nginx-ui

  • >= 2.3.8, < 2.5.0

Qué hacer

1. Verificá si usás nginx-ui y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• murrez/CVE-2026-107806 ↗CVE-2026-107806 — nginx-ui 2.3.8–2.4.x auth RCE via forged backup restore (TestConfigCmd). PoCbit PoC: GET /api/backup, tamper app.ini, POST /api/restore, POST /api/nginx/test. check/exploit, batch url|JWT. Fixed 2.5.0.PUBLICADO 10 OCT · 16:46

Calculadora CVSS

CVSS 4.0 · 9.4 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Alta

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Alta

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

Nginx UI is a web user interface for the Nginx web server. From 2.3.8 until 2.5.0, an authenticated administrator with an active secure session can submit attacker-controlled portable backup key material and a matching manifest to POST /api/restore. The restore flow trusts the supplied key, decrypts attacker-controlled contents, and replaces the live app.ini, including protected nginx command settings such as TestConfigCmd. Triggering POST /api/nginx/test then executes the restored command in the Nginx UI runtime context, affecting confidentiality, integrity, and availability. This issue is fixed in version 2.5.0.

Referencias

• github.com/0xJacky/nginx-ui/security/advisories/GHSA-p393-cf76-4jmrX_REFSOURCE_CONFIRM
• github.com/0xJacky/nginx-ui/commit/a467ed652591fc0cd1b466a1ec751b493faef9f7X_REFSOURCE_MISC
• github.com/0xJacky/nginx-ui/releases/tag/v2.5.0X_REFSOURCE_MISC

Historial de la alerta

1. 10 OCT · 16:46EXPLOIT PÚBLICO Se publicó el repositorio murrez/CVE-2026-107806.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.