CVE-2026-33030 是 Nginx UI 中的一个不安全直接对象引用 (IDOR) 漏洞。该漏洞允许任何经过身份验证的用户访问、修改和删除其他用户的资源，导致严重的权限绕过。受影响的版本包括 2.3.3 及更早版本。目前没有可用的官方补丁。
CVE-2026-33030 影响 nginx-UI，特别是 github.com/0xJacky/nginx-ui 中的实现。漏洞在于 DNS API 令牌和 ACME 私钥未加密存储。这意味着如果攻击者可以访问存储 nginx-UI 配置的文件系统，则可以获取这些令牌和密钥，从而破坏 DNS 配置的安全性以及 SSL/TLS 证书的安全性。CVSS 评分 8.8 表明风险很高，因为利用可能允许攻击者控制 DNS 配置，将流量重定向到恶意网站，甚至破坏底层基础设施。缺乏已知的修复程序会加剧这种情况，需要仔细评估和立即采取缓解措施。
利用 CVE-2026-33030 需要访问 nginx-UI 存储其配置的文件系统。这可以通过操作系统安全漏洞、其他软件漏洞或物理访问服务器来实现。一旦攻击者获得访问权限，他们只需读取配置文件即可获取 DNS API 令牌和 ACME 私钥。由于缺乏加密，这些数据以明文形式存储，从而使其提取容易。利用的严重性在于可能破坏 DNS 配置和 SSL/TLS 证书，这可能会对 Web 服务的可用性和安全性产生重大影响。
Organizations deploying nginx-UI in production environments, particularly those relying on automated DNS management or Let's Encrypt certificates, are at significant risk. Shared hosting environments where multiple users share the same server resources are especially vulnerable, as a compromise of one user's nginx-UI instance could expose the credentials of others.
• linux / server:
find /var/lib/nginx-ui/ -name '*.conf' -print0 | xargs -0 grep -i 'dns_api_token' # Check for unencrypted tokens
find /var/lib/nginx-ui/ -name '*.key' -print0 | xargs -0 grep -i 'acme_private_key' # Check for unencrypted keys• generic web:
curl -I http://<nginx-ui-host>/config.json # Check for exposed configuration filedisclosure
漏洞利用状态
EPSS
0.03% (10% 百分位)
CISA SSVC
由于 CVE-2026-33030 没有官方修复程序，因此缓解措施的重点是减少攻击面并保护敏感数据。最关键的一步是限制对存储 nginx-UI 配置的文件系统的访问。实施严格的访问控制，例如最小权限原则，至关重要。我们强烈建议将 nginx-UI 配置移动到安全、加密的存储中，不在直接可访问的文件系统中。此外，监控系统活动是否存在未经授权的访问，并考虑使用提供更安全凭证存储的 nginx-UI 替代方案。定期审计配置以及为操作系统和其他依赖项应用安全补丁也是必不可少的。
将 Nginx UI 更新到 2.3.3 之后的版本，一旦发布了修复版本。目前没有可用的补丁，因此建议监视 Nginx UI 存储库以获取未来的安全更新。
漏洞分析和关键警报直接发送到您的邮箱。
ACME (Automated Certificate Management Environment) 是一种用于自动 SSL/TLS 证书颁发和续订的协议。
ACME 私钥用于向证书颁发机构证明域名所有权。如果攻击者获得此密钥，则可以为域名生成虚假 SSL/TLS 证书，从而启用“中间人”攻击。
如果您已经在使用 nginx-UI，请实施上述缓解措施，特别是限制文件系统访问并考虑更安全的替代方案。
有几种 nginx-UI 替代方案，例如更传统的 Nginx 控制面板或基于代码的配置管理解决方案。研究并选择一种提供更安全凭证存储的选项。
实施一个日志记录和监控系统，以跟踪对 nginx-UI 配置文件访问的情况。配置警报以检测任何可疑活动。
CVSS 向量