CVE-2026-78689

Descripción NGINX JavaScript (njs) presenta una vulnerabilidad en el analizador de la lista de prefijos de espacios de nombres del módulo XML, accesible a través del método xml.exclusiveC14n(). Un atacante remoto no autenticado puede activarla cuando una configuración afectada de NGINX pasa una lista de prefijos de espacios de nombres XML controlada externamente a ese método. Tanto los motores njs como QuickJS (qjs) están afectados. Una lista de prefijos manipulada provoca un out-of-bounds write más allá del final de una asignación de heap. Con el motor njs, que es el motor utilizado cuando la directiva js_engine está ausente, esto corrompe objetos adyacentes y bloquea el worker de NGINX. Con el motor QuickJS, la misma llamada además provoca una fuga de la lista de prefijos en cada invocación, lo que hace que la memoria del worker crezca entre solicitudes. La implementación de referencia oficial nginxinc/nginx-saml está afectada durante la verificación de la firma SAML. Lee InclusiveNamespaces/@PrefixList de un mensaje SAML no confiable y lo pasa a xml.exclusiveC14n() antes de que se haya verificado la firma, por lo que no se requiere una firma SAML válida. Un Response, Assertion, LogoutRequest o LogoutResponse de SAML manipulado es suficiente. La ejecución de código no se ha demostrado y no puede descartarse para todas las plataformas, ya que el efecto del out-of-bounds write depende de condiciones fuera del control del atacante. Impacto Esta vulnerabilidad permite a atacantes remotos provocar una denegación de servicio en el sistema NGINX, ya sea mediante reinicios repetibles del worker o mediante el crecimiento de la memoria del worker o posiblemente desencadenar la ejecución de código. No hay exposición del plano de control; se trata únicamente de un problema del plano de datos. Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan.