CVE-2026-61629 in nginx-ignition
Riassunto
di VulDB • 21/09/2026
nginx ignition è un'interfaccia utente per il server web nginx. Nelle versioni dalla 2.29.0 alla 2.40.0, la middleware gin i18n nel server API di nginx-ignition viene eseguita prima di ogni richiesta HTTP e chiama `golang.org/x/text/language.ParseAcceptLanguage` sull'intestazione grezza `Accept-Language` senza imporre alcun filtro di dimensione o forma. Il parser sottostante presenta un comportamento con complessità temporale quadratica su lunghe liste di tag lingua non validi. La protezione CVE-2022-32149 aggiunta da golang.org/x/text nella versione v0.3.8 limita il numero di caratteri `-` nell'input a 1000, ma non limita i caratteri `_`, nonostante lo scanner interno del parser aliasizzi `_` come `-` prima dell'elaborazione. Una singola richiesta GET non autenticata con un'intestazione `Accept-Language` costruita utilizzando separatori `_` consuma circa 2,4 secondi di CPU del server sull'host che esegue nginx-ignition; dieci attaccanti simultanei saturano una macchina a dieci core per tutta la durata dell'attacco, consumando ~10 MiB/s di banda upstream. La versione 2.40.1 risolve questo problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.