CVE-2026-33030Nginx UI是专为Nginx Web服务器设计的Web用户界面。在2.3.3及更早版本中，该应用存在不安全的直接对象引用（IDOR）漏洞。由于基础Model结构体缺少user_id字段，且所有资源端点在通过ID查询时未验证用户所有权，导致任何经过身份验证的用户都可以访问、修改和删除属于其他用户的资源。该漏洞在多用户环境中可实现完全的授权绕过，目前尚无公开补丁。
该漏洞的核心技术缺陷在于Nginx UI后端缺乏有效的对象级别访问控制。应用程序的基础Model结构体未包含用于标识资源所有者的user_id字段，导致数据模型本身不支持多租户隔离。当用户对特定资源（如配置文件、站点设置）发起请求时，后端接口仅根据请求参数中的资源ID进行数据库检索操作（如SELECT/UPDATE/DELETE），而未在查询逻辑中增加当前登录用户ID与资源所有者ID的关联校验。这意味着，攻击者只要拥有普通用户权限，即可通过遍历或猜测其他用户的资源ID，构造特定的HTTP请求（如GET、PUT、DELETE）来读取、篡改或销毁他人资源。这种逻辑漏洞属于典型的水平越权，严重破坏了多用户环境下的数据隔离性。