CVE-2026-50892

Nginx Proxy Manager do wersji 2.16.0 nie ogranicza pola advanced_config wyłącznie do administratorów, co pozwala użytkownikom bez uprawnień administracyjnych, ale z uprawnieniami do zarządzania, wstrzykiwać dowolne dyrektywy nginx. Atakujący mogą wstrzyknąć złośliwą konfigurację nginx, taką jak dyrektywy alias, aby udostępniać dowolne pliki lub kontrolować routing dla przypisanych im hostów.

Nginx Proxy Manager do wersji 2.16.0 nie stosuje ograniczania szybkości na punktach końcowych uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na nieograniczone zgadywanie haseł dla dowolnego konta. Atakujący mogą brute-force'ować dane logowania przez POST /api/tokens, a następnie zgadywać kody TOTP przez POST /api/tokens/2fa, aby uzyskać pełny dostęp sesyjny i kontrolę administracyjną.

Nginx Proxy Manager w wersjach 2.9.14 do 2.15.1 zawiera podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie poleceń systemu operacyjnego w funkcji setupCertbotPlugins(). Atakujący z uprawnieniami certificates:manage może przechowywać złośliwy ładunek w polu dns_provider_credentials, który jest bezpośrednio interpolowany do polecenia powłoki bez sanityzacji, co prowadzi do wykonania dowolnych poleceń po restarcie backendu.