Nginx UI: endpoint MCP sin autenticación permite tomar el control de nginx (CVE-2026-33032)

Fecha (divulgación): 30 de marzo de 2026
Proveedor / producto: Nginx UI (0xJacky) — nginx-ui
Tipo de agente: Servidor MCP
Categoría: Cadena de suministro MCP / skills Configuración insegura / vulnerabilidad
Gravedad: crítica · pendiente de revisión
CVE: CVE-2026-33032

Resumen

Las versiones 2.3.5 y anteriores de Nginx UI exponen un endpoint MCP protegido solo por una lista de IP que, vacía por defecto, se interpreta como permitir todo. Un atacante en red puede invocar todas las herramientas MCP sin autenticarse, modificar la configuración y reiniciar nginx.

Mitigación

Actualizar cuando haya versión corregida; restringir el acceso de red a la interfaz; configurar explícitamente la lista de IP permitidas.

Fuente original

https://nvd.nist.gov/vuln/detail/CVE-2026-33032

Herramientas relacionadas

agentgateway Cisco MCP Scanner Docker MCP Gateway Horizon3.ai NodeZero PentestGPT Snyk Agent Scan (antes mcp-scan)XBOW ZeroPath

Listado orientativo por categoría, no una recomendación ni una afirmación de que la herramienta habría evitado el incidente.