Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Un nuevo aviso de seguridad

Ausencia de autenticación en Nginx-UI

Fecha06/03/2026
Importancia5 - Crítica
Recursos Afectados

El paquete 'github.com/0xJacky/Nginx-UI' en versiones anteriores a la 2.3.3.

Descripción

tenbbughunters, ha reportado una vulnerabilidad de severidad crítica que podría permitir a un atacante no autenticado descargar una copia de seguridad completa del sistema.

Solución

Actualizar a la versión 2.3.3.

Detalle

CVE-2026-27944: el '/api/backup' endpoint es accesible sin autenticación y divulga las claves de cifrado necesarias para descifrar la copia de seguridad en el 'X-Backup-Security' encabezado de respuesta. Esto permite a un atacante no autenticado descargar una copia de seguridad completa del sistema que contiene datos confidenciales (credenciales de usuario, tokens de sesión, claves privadas SSL, configuraciones de Nginx) y descifrarla inmediatamente.