漏洞概述 Nginx Proxy Manager 2.14.0 版本存在一个安全漏洞，该漏洞允许具有证书读取权限的用户通过证书下载 API 下载包含私钥（ ）的 ZIP 文件。具体而言，当用户访问 路由时，系统会将证书目录中的文件打包成 ZIP 文件返回，其中包括私钥文件。 影响范围 受影响版本：Nginx Proxy Manager 2.14.0 影响对象：具有证书读取权限的用户 影响内容：私钥泄露，可能导致 TLS 端点的身份冒充，需要轮换密钥。 修复方案 当前状态：页面未提供具体的修复方案或补丁信息。 建议措施： - 限制证书下载 API 的访问权限，确保只有必要用户才能访问。 - 在证书下载过程中，排除私钥文件。 - 定期轮换密钥，减少潜在风险。 POC 代码 总结 该漏洞涉及 Nginx Proxy Manager 2.14.0 版本中证书下载 API 的安全问题，导致私钥泄露。建议采取限制访问权限、排除私钥文件和定期轮换密钥等措施进行修复。