KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-27944 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Nginx UI 是一个用于管理 Nginx 服务器的开源网页界面工具。在 2.3.3 之前的版本中，`/api/backup` 接口存在权限控制缺陷，允许未经身份验证的访问。同时，该接口在响应头的 `X-Backup-Security` 字段中错误地公开了用于加密备份文件的密钥。攻击者可以远程下载完整的系统备份文件，并利用响应头中的密钥直接解密，从而获取服务器的敏感数据，包括用户凭据、会话令牌、SSL 私钥以及 Nginx 配置文件。
影响范围
应用：nginxui nginx_ui（影响面 Up to (excluding) 2.3.3）
解决方案
1、升级至最新版本。
2、利用安全组设置其仅对可信地址开放。
参考信息
https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-g9w5-qffc-6762
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。