好的，我现在要帮用户总结这篇文章的内容。用户的要求是用中文，控制在100字以内，不需要特定的开头，直接写描述。 首先，我需要理解文章的主要内容。文章讲的是nginx-ui这个工具发现了一个严重的安全漏洞，CVE编号是2026-33032，CVSS评分9.8。这个漏洞允许攻击者完全控制Nginx服务器。文章还提到nginx-ui使用了mcp-go库的SSE传输机制，有两个关键的端点：GET /mcp和POST /mcp_message。攻击者通过这些端点获取会话ID，然后发送恶意命令，导致服务器被控制。 接下来，我需要将这些信息浓缩到100字以内。重点包括：nginx-ui的流行程度、漏洞的严重性、CVSS评分、攻击者的能力、漏洞利用的方法以及影响。 可能的结构是：先点出工具及其受欢迎程度，然后说明漏洞及其评分，接着描述攻击者如何利用漏洞（通过SSE和端点），最后说明后果。 现在开始组织语言： "nginx-ui是一款流行的Nginx管理工具，拥有大量用户和Docker拉取量。近期发现严重漏洞CVE-2026-33032（CVSS 9.8），允许攻击者通过SSE机制控制服务器。攻击者利用/mcp和/mcp_message端点获取会话ID并执行恶意命令，导致服务器完全受控。" 检查字数：刚好在100字左右，并且涵盖了所有关键点。 </think> nginx-ui是一款流行的Nginx管理工具，拥有大量用户和Docker拉取量。近期发现严重漏洞CVE-2026-33032（CVSS 9.8），允许攻击者通过SSE机制控制服务器。攻击者利用/mcp和/mcp_message端点获取会话ID并执行恶意命令，导致服务器完全受控。 2026-4-21 06:2:11 Author: infosecwriteups.com(查看原文) 阅读量:15 收藏
Press enter or click to view image in full size
Recently, a critical security flaw found in nginx-ui, a popular web-based nginx management tool with over 11K GitHub stars and 430,000+ Docker pulls, has been exploited in wild. The vulnerability CVE-2026-33032 with CVSS (Common Vulnerability Scoring System) of 9.8, enables attacker to take full control over the Nginx servers.
Understanding the Scenario
nginx-ui uses the SSE (Server-Sent Events) transport from the mcp-go library. Here are the two endpoints which plays important role:
GET /mcp — Opens a persistent SSE stream. It is used to establish a persistent Server-Sent Events (SSE) connection to receive JSON-RPC responses and initiate a session.
POST /mcp_message — It is used to send commands to the MCP server (e.g., to create or modify configuration files, reload NGINX, or restart services).
When a client sends GET request to/mcp endpoint to open the stream. The server responds with a session ID as shown below.
data: /mcp_message?sessionId=9a7f3d21-6c5e-4b8a-9d72-3f1e8c4b2a11After this, tools are called with the POST request to /mcp_message endpoint with the valid sessionId and the response is sent back to the client through SSE stream. Here, nginx-ui authenticates MCP connections using a…
如有侵权请联系:admin#unsafe.sh