Иногда смотришь на уязвимости и думаешь — ну ладно, бывает, сложная логика, хитрый баг. А иногда читаешь CVE и просто улыбаешься. Потому что это не «хакерская магия», а обычная человеческая расслабленность. В Nginx UI нашли CVE-2026-27944. Там есть эндпоинт /api/backup, который отдает бэкап конфигурации. И всё бы ничего, но авторизацию на него почему-то решили не вешать. Но самое красивое даже не это. В ответе вместе с архивом прилетает ключ для расшифровки этого самого бэкапа. Прямо в заголовке. То есть система буквально говорит: держи конфиг, держи ключ, пользуйся на здоровье. Мы с вами понимаем, что обычно лежит в таких бэкапах. Сертификаты, ключи, токены, upstream-ы, иногда половина внутренней инфраструктуры в открытом виде. Если панель управления торчит наружу, то это уже не «потенциальная уязвимость». Это аккуратный, красивый способ раздать конфигурацию всем желающим. Такие истории обычно заканчиваются очень одинаково: сначала тихие сканеры, потом несколько постов в ресерч-