CVE-2026-78689

Description NGINX JavaScript (njs) présente une vulnérabilité dans l'analyseur de liste de préfixes d'espace de noms du module XML, accessible via la méthode xml.exclusiveC14n(). Un attaquant distant non authentifié peut la déclencher lorsqu'une configuration NGINX affectée transmet à cette méthode une liste de préfixes d'espace de noms XML contrôlée de l'extérieur. Les moteurs njs et QuickJS (qjs) sont tous deux affectés. Une liste de préfixes forgée provoque une écriture hors limites au-delà de la fin d'une allocation sur le tas. Avec le moteur njs, qui est le moteur utilisé lorsque la directive js_engine est absente, cela corrompt les objets adjacents et fait planter le worker NGINX. Avec le moteur QuickJS, le même appel provoque en outre une fuite de la liste de préfixes à chaque invocation, entraînant une croissance de la mémoire du worker au fil des requêtes. L'implémentation de référence officielle nginxinc/nginx-saml est affectée lors de la vérification de la signature SAML. Elle lit InclusiveNamespaces/@PrefixList depuis un message SAML non fiable et le transmet à xml.exclusiveC14n() avant que la signature ait été vérifiée, de sorte qu'une signature SAML valide n'est pas requise. Une Response, Assertion, LogoutRequest ou LogoutResponse SAML forgée est suffisante. L'exécution de code n'a pas été démontrée et ne peut être exclue pour toutes les plateformes, car l'effet de l'écriture hors limites dépend de conditions indépendantes du contrôle de l'attaquant. Impact Cette vulnérabilité permet à des attaquants distants de provoquer un déni de service sur le système NGINX, soit par des redémarrages répétables du worker, soit par une croissance de la mémoire du worker, ou éventuellement de déclencher une exécution de code. Il n'y a aucune exposition du plan de contrôle ; il s'agit uniquement d'un problème de plan de données. Remarque : Les versions logicielles ayant atteint la fin du support technique (EoTS) ne sont pas évaluées.