Nginx Proxy Manager through 2.16.0 lacks rate-limiting on authentication endpoints, allowing unauthenticated attackers to make unlimited password guesses against any account. Attackers can brute-force login credentials via POST /api/tokens and subsequently guess TOTP codes via POST /api/tokens/2fa to gain full session access and administrative control.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nginxproxymanager Nginx_Proxy_Manager
cpe:2.3:a:nginxproxymanager:nginx_proxy_manager:*:*:*:*:*:*:*:*
|
— |
<= 2.16.0
|
Ссылки 6
https://github.com/NginxProxyManager/nginx-proxy-manager/pull/5908
NVD
https://github.com/NginxProxyManager/nginx-proxy-manager/blob/v2.16.0/backend/a…
NVD
https://github.com/NginxProxyManager/nginx-proxy-manager/blob/v2.16.0/backend/i…
NVD
https://github.com/NginxProxyManager/nginx-proxy-manager/blob/v2.16.0/backend/i…
NVD
https://github.com/NginxProxyManager/nginx-proxy-manager
NVD
https://www.vulncheck.com/advisories/nginx-proxy-manager-through-2.16.0-missing…
VulnCheck Advisory: Nginx Proxy Manager through 2.16.0 Missing Brute-Force Protection