CVE-2026-78689

Description NGINX JavaScript (njs) weist eine Schwachstelle im Parser für Namespace-Präfixlisten des XML-Moduls auf, erreichbar über die Methode xml.exclusiveC14n(). Ein nicht authentifizierter entfernter Angreifer kann sie auslösen, wenn eine betroffene NGINX-Konfiguration eine extern kontrollierte XML-Namespace-Präfixliste an diese Methode übergibt. Sowohl die njs- als auch die QuickJS-Engine (qjs) sind betroffen. Eine manipulierte Präfixliste verursacht einen Out-of-Bounds-Write über das Ende einer Heap-Allokation hinaus. Bei der njs-Engine, die verwendet wird, wenn die Anweisung js_engine fehlt, werden dadurch benachbarte Objekte beschädigt und der NGINX-Worker stürzt ab. Bei der QuickJS-Engine führt derselbe Aufruf zusätzlich bei jedem Aufruf zum Leaken der Präfixliste, wodurch der Worker-Speicher über Anfragen hinweg wächst. Die offizielle Referenzimplementierung nginxinc/nginx-saml ist bei der SAML-Signaturprüfung betroffen. Sie liest InclusiveNamespaces/@PrefixList aus einer nicht vertrauenswürdigen SAML-Nachricht und übergibt sie an xml.exclusiveC14n(), bevor die Signatur verifiziert wurde, sodass keine gültige SAML-Signatur erforderlich ist. Eine manipulierte SAML Response, Assertion, LogoutRequest oder LogoutResponse genügt. Eine Codeausführung wurde nicht nachgewiesen und kann nicht für alle Plattformen ausgeschlossen werden, da die Auswirkung des Out-of-Bounds-Write von Bedingungen abhängt, die außerhalb der Kontrolle des Angreifers liegen. Impact Diese Schwachstelle ermöglicht es entfernten Angreifern, auf dem NGINX-System eine Denial-of-Service zu verursachen, entweder durch wiederholbare Worker-Neustarts oder durch das Anwachsen des Worker-Speichers – oder möglicherweise Codeausführung auszulösen. Es gibt keine Control-Plane-Exposition; dies ist ausschließlich ein Data-Plane-Problem. Hinweis: Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, werden nicht bewertet.