CVE-2026-61629 in nginx-ignition
الملخص
بحسب VulDB • 21/09/2026
يُعد Nginx Ignition واجهة مستخدم لخادم الويب nginx. في الإصدارات من 2.29.0 إلى 2.40.0، يعمل وسيط gin i18n الموجود في خادم API الخاص بـ nginx-ignition أمام كل طلب HTTP ويقوم باستدعاء `golang.org/x/text/language.ParseAcceptLanguage` على رأس `Accept-Language` الخام دون فرض أي مرشح للحجم أو الشكل. يتميز المُترجِم الأساسي (underlying parser) بسلوك ذي تعقيد زمني تربيعي (quadratic-time behaviour) عند التعامل مع قوائم طويلة من وسوم اللغة غير الصحيحة. بينما يحد حامي CVE-2022-32149 الذي أضافته مكتبة golang.org/x/text في الإصدار v0.3.8 عدد أحرف `-` المدخلة بـ 1000، إلا أنه لا يفرض حداً لأحرف `_` على الرغم من أن الماسك الداخلي (internal scanner) للمُترجِم يعرّف `_` كمرادف لـ `-` قبل عملية التحليل. يؤدي طلب GET واحد غير مُصادق عليه يحتوي على رأس `Accept-Language` مبني باستخدام فواصل `_` إلى استهلاك حوالي 2.4 ثانية من وحدة المعالجة المركزية للخادم المستضيف لـ nginx-ignition؛ وعشرة مهاجمين متزامنين يشبعون معالجاً ذا عشرة نوى طوال مدة الهجوم، مستهلكين نحو 10 ميغابايت/ثانية من عرض النطاق الترددي للربط الخلفي (upstream bandwidth). يُصلح الإصدار 2.40.1 هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.