CVE-2026-33032
Nginx UI: نقطة نهاية MCP غير مصادق عليها تسمح بالاستيلاء على Nginx عن بُعد
- تم النشر
- 30/03/2026
- محدث
- 16/04/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 24/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 84.6%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Nginx UI هي واجهة مستخدم ويب لخادم الويب Nginx. في الإصدارات 2.3.5 والإصدارات السابقة، يعرض تكامل nginx-ui MCP (Model Context Protocol) نقطتي نهاية HTTP: /mcp و /mcp_message. بينما يتطلب /mcp كلاً من القائمة البيضاء لعناوين IP والمصادقة (وسيط AuthRequired())، فإن نقطة النهاية /mcp_message تطبق القائمة البيضاء لعناوين IP فقط - والقائمة البيضاء الافتراضية فارغة، وهو ما يتعامل معه الوسيط على أنه "السماح للجميع". وهذا يعني أن أي مهاجم عبر الشبكة يمكنه استدعاء جميع أدوات MCP دون مصادقة، بما في ذلك إعادة تشغيل nginx، وإنشاء/تعديل/حذف ملفات إعداد nginx، وتشغيل إعادة تحميل الإعدادات تلقائيًا - مما يحقق السيطرة الكاملة على خدمة nginx. في وقت النشر، لا توجد تصحيحات متاحة للعامة.
المصادر
http/cves/2026/CVE-2026-33032.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- CVE-2026-33032الكشف
استدعاء دالة واحد ناقص في تسجيل المسار كان كافياً لتحويل واجهة MCP إلى بوابة تنفيذ أوامر عن بُعد (RCE) غير مصادق عليها.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.