CVE-2026-101025
ŚrednieCVSS 5.3Streszczenie
NGINX JavaScript (njs) ma podatność, w której wbudowany silnik njs wycieka kontekst parsera libxml2, gdy xml.parse() zawiedzie. Ścieżka błędu nie rejestrowała czyszczenia i kontekst nie był zwalniany przez cały czas życia procesu. Nieuwierzytelniony atakujący może wysyłać żądania z nieprawidłowym XML i powodować nieograniczony wzrost pamięci w długotrwałych procesach roboczych NGINX.
Ocena ryzyka
Atakujący może zdalnie wysyłać żądania wywołujące powtarzające się parsowanie nieprawidłowego XML, co może prowadzić do zakończenia procesu roboczego NGINX lub odmowy usługi (DoS). Jest to problem wyłącznie w płaszczyźnie danych, bez ekspozycji płaszczyzny kontrolnej.
Rekomendacja
Zaktualizuj NGINX JavaScript (njs) do wersji zawierającej poprawkę. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie przetwarzania nieprawidłowego XML lub monitorowanie zużycia pamięci procesów roboczych.
Inne podatności w NGINX JavaScript (njs)
Zobacz wszystkie- CVE-2026-101019Średnie
Moduł njs XML w NGINX JavaScript (njs) ujawnia atrybuty XML oparte na encjach w sposób niespójny z kanonizacją libxml2. W backendach njs i QuickJS getter $attr$Name może zwrócić undefined dla jawnie obecnego atrybutu zawierającego wewnętrzne odwołanie do encji, a getter $attrs może zwrócić wartość pochodzącą tylko z pierwszego atrybutu potomnego. Może to pozwolić nieuwierzytelnionemu atakującemu na pominięcie walidacji przy jednoczesnym pomyślnym zweryfikowaniu podpisu.
- CVE-2026-78689Wysokie
Podatność w module XML silnika NGINX JavaScript (njs) dotyczy parsera listy prefiksów przestrzeni nazw, osiągalnego przez metodę xml.exclusiveC14n(). Nieuwierzytelniony zdalny atakujący może wywołać zapis poza granicami alokacji sterty, gdy konfiguracja NGINX przekazuje zewnętrznie kontrolowaną listę prefiksów do tej metody. Dotyczy to zarówno silnika njs, jak i QuickJS (qjs).
Oryginalny opis (angielski, źródło NVD)
Description NGINX JavaScript (njs) has a vulnerability where the built-in njs engine leaks a libxml2 parser context when xml.parse() fails. The failure path did not register cleanup and the context was not released for the lifetime of the process. An unauthenticated attacker may send requests with malformed XML and can cause unbounded memory growth in long-lived NGINX worker processes. Impact This vulnerability may allow remote attackers to send requests that trigger repeated parsing of malformed XML and may lead to NGINX worker termination or denial of service. There is no control plane exposure; this is a data plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS