CVE-2026-102334: brute-force su autenticazione in Nginx Proxy Manager

Il CVE-2026-102334 interessa Nginx Proxy Manager fino alla versione 2.16.0 e descrive una vulnerabilità di validazione e rate-limiting assente sugli endpoint di autenticazione. La falla consente a chiunque, senza credenziali, di tentare un numero illimitato di indovinamenti sulla password di qualsiasi account tramite POST /api/tokens, e successivamente di forzare il codice TOTP tramite POST /api/tokens/2fa per ottenere accesso sessione completo e controllo amministrativo della piattaforma.

La gravità è certificata da un punteggio CVSS di 7,4 (high), che riflette l'impatto diretto su autenticazione e controllo amministrativo. La vulnerabilità è stata pubblicata in NVD il 28 settembre 2026. Un segnale coerente arriva da repository GitHub che dichiarano di contenere exploit pubblici per CVE-2026-102334, riportati a partire dal 5 novembre 2026: questo indica che la falla è stata attivamente analizzata e il codice di sfruttamento è tracciato pubblicamente.

Gli amministratori di Nginx Proxy Manager devono prioritariamente applicare eventuali patch non appena disponibili. Nel frattempo, implementare protezione di rete sugli endpoint /api/tokens e /api/tokens/2fa (ad esempio tramite WAF o throttling a livello di load balancer), monitorare i registri per sequenze sospette di tentativi falliti di autenticazione, e limitare l'accesso agli endpoint di gestione solo da indirizzi IP aziendali fidati. Verificare i registri di accesso per rilevare brute-force già avvenuti.