【缝隙公告】nginx-ui 未授权备份下载与加密密钥泄露缝隙(CVE-2026-27944)

颁布功夫 2026-03-09

一、缝隙概述


缝霞称

nginx-ui 未授权备份下载与加密密钥泄露缝隙

CVE   ID

CVE-2026-27944

缝隙类型

未授权接见

发现功夫

2026-3-9

缝隙评分

9.8

缝隙等级

严沉

攻击向量

网络

所需权限

无

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

未发现


nginx-ui是一款用于治理Nginx的开源Web可视化治理工具，提供基于浏览器的图形化界面，用于配置和守护Nginx服务器 。该项目支持站点配置治理、证书治理、日志查看、配置文件编纂及在线沉载等职能，旨在简化Nginx的运维和治理流程 。nginx-ui通常部署在服务器上，通过Web节造台实现对Nginx配置和运行状态的集中治理 。


2026年3月9日，宝运莱官方网站安全应急响应中心（VSRC）监测到nginx-ui未授权备份下载与加密密钥泄露缝隙 。由于/api/backup接口未配置身份认证机造，远程攻击者可在无需登录的情况下直接接见该接口并下载系统齐全备份文件 。同时，服务器在响应头X-Backup-Security中以明文大局返回用于解密备份的AES-256加密密钥和IV，导致备份数据的加密�；な� 。攻击者可利用该密钥对下载的备份文件进行解密，从而获取数据库信息、用户痛处、会话令牌、Nginx配置文件以及SSL私钥等敏感数据，造成严沉信息泄露风险，并可能进一步引发账户收受、服务伪造或系统配置被滥用等安全影响 。


二、影响领域


nginx-ui < 2.3.2


三、安全措施


3.1 升级版本


官方已颁布建复补丁，以建复该缝隙 。
nginx-ui >= 2.3.3


下载链接：https://github.com/0xJacky/nginx-ui/releases/


3.2 一时措施


暂无 。


3.3 通用建议


? 定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。
? 加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。
? 使用企业级安全产品，提升企业的网络安全机能 。
? 加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度 。
? 启用强密码战术并设置为定期批改 。


3.4 参考链接


https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-g9w5-qffc-6762/
https://nvd.nist.gov/vuln/detail/CVE-2026-27944