CVE-2026-40519-Nginx Proxy Manager已认证远程命令执行漏洞预警

邑安科技
邑安科技

邑安全

2026年6月11日 10:48
广东

在小说阅读器读本章

去阅读

更多全球网络安全资讯尽在邑安全

一、 漏洞概述

2026年06月08日，监测到 Nginx Proxy Manager (NPM) 曝出严重的已认证远程代码执行漏洞，编号为：CVE-2026-40519，CVSS 评分：7.7。

该漏洞存在于NPM 处理 Certbot DNS 插件凭证的核心逻辑中。拥有管理员权限（或知晓默认弱口令）的攻击者，可通过构造恶意的 DNS 凭证载荷，直接在底层系统执行任意命令。

二、 漏洞分析

Nginx Proxy Manager命令注入漏洞

漏洞编号: CVE-2026-40519

漏洞类型: 远程命令执行

简述: 该漏洞存在于backend/setup.js 文件中的 setupCertbotPlugins() 函数中。拥有 certificates:manage 权限的攻击者可以通过在 dns\_provider\_credentials 字段中存储恶意载荷来执行任意命令。攻击者控制的值会被直接插入到通过 child\_process.exec() 执行的 shell 命令中，未经过任何清理或转义处理，导致注入的命令被执行。利用前置条件为拥有 Nginx Proxy Manager 默认管理员账号（[email protected]/changeme）且目标服务器运行 2.9.14 至 2.15.1 版本。

三、 影响版本

四、 防护方案

修复建议：

1、 官方升级修复：

由于官方尚未发布包含修复的稳定版本，建议从官方仓库 develop 分支下载源码自行编译。后续请升级至 Nginx Proxy Manager > 2.15.1 版本。

2、账号与权限管理：

立即修改 Nginx Proxy Manager 的默认账密（[email protected]/changeme），并严格限制普通用户的 certificates:manage 权限。

3、 网络访问控制：

严禁将 Nginx Proxy Manager 的管理后台端口（默认81端口）直接暴露于公网，仅允许受信任的内网IP或堡垒机访问。

五、 时间线

2026年06月08日，漏洞细节及修复代码提交（commit a5db5ed）在 GitHub 公开。

六、 相关链接

https://nvd.nist.gov/vuln/detail/CVE-2026-40519

https://github.com/NginxProxyManager/nginx-proxy-manager/commit/a5db5ed156355e3088e7d1ceb0533d4bae922def

https://github.com/NginxProxyManager/nginx-proxy-manager/pull/5498

https://www.vulncheck.com/advisories/nginx-proxy-manager-authenticated-rce-via-setupcertbotplugins

欢迎收藏并分享朋友圈，让五邑人网络更安全

欢迎扫描关注我们，及时了解最新安全动态、学习最潮流的安全姿势！

推荐文章

1

新永恒之蓝？微软SMBv3高危漏洞（CVE-2020-0796）分析复现

2

重大漏洞预警：ubuntu最新版本存在本地提权漏洞（已有EXP）