CVE-2026-78689

Descrizione NGINX JavaScript (njs) presenta una vulnerabilità nel parser della lista dei prefissi dei namespace del modulo XML, raggiungibile tramite il metodo xml.exclusiveC14n(). Un attaccante remoto non autenticato può attivarla quando una configurazione NGINX interessata passa a tale metodo una lista di prefissi dei namespace XML controllata esternamente. Sia il motore njs che il motore QuickJS (qjs) sono interessati. Una lista di prefissi appositamente creata causa una scrittura out-of-bounds oltre la fine di un'allocazione heap. Con il motore njs, che è il motore utilizzato quando la direttiva js_engine è assente, ciò corrompe gli oggetti adiacenti e provoca il crash del worker NGINX. Con il motore QuickJS, la stessa chiamata provoca inoltre il leak della lista dei prefissi a ogni invocazione, causando la crescita della memoria del worker tra le richieste. L'implementazione di riferimento ufficiale nginxinc/nginx-saml è interessata durante la verifica della firma SAML. Legge InclusiveNamespaces/@PrefixList da un messaggio SAML non attendibile e lo passa a xml.exclusiveC14n() prima che la firma sia stata verificata, quindi non è richiesta una firma SAML valida. È sufficiente un Response, Assertion, LogoutRequest o LogoutResponse SAML appositamente creato. L'esecuzione di codice non è stata dimostrata e non può essere esclusa per tutte le piattaforme, poiché l'effetto della scrittura out-of-bounds dipende da condizioni al di fuori del controllo dell'attaccante. Impatto Questa vulnerabilità consente ad attaccanti remoti di causare un denial of service sul sistema NGINX, tramite riavvi ripetibili del worker o tramite la crescita della memoria del worker o eventualmente di attivare l'esecuzione di codice. Non vi è esposizione del control plane; si tratta solo di un problema del data plane. Nota: le versioni del software che hanno raggiunto la fine del supporto tecnico (EoTS) non sono valutate.