CVE-2026-61629 in nginx-ignition
Sumário
de VulDB • 21/09/2026
O nginx ignition é uma interface de usuário para o servidor web nginx. Nas versões de 2.29.0 a 2.40.0, o middleware gin i18n no servidor da API do nginx-ignition executa antes de cada solicitação HTTP e chama `golang.org/x/text/language.ParseAcceptLanguage` no cabeçalho bruto `Accept-Language`, sem impor nenhum filtro de tamanho ou formato. O analisador subjacente apresenta comportamento com complexidade temporal quadrática em listas longas de tags de idioma malformadas. A proteção CVE-2022-32149, adicionada pelo golang.org/x/text na versão v0.3.8, limita o número de caracteres `-` no input para 1000, mas não limita os caracteres `_`, embora o scanner interno do analisador aliasie `_` a `-` antes da análise. Uma única solicitação GET não autenticada com um cabeçalho `Accept-Language` construído usando separadores `_` consome cerca de 2,4 segundos de CPU do servidor no host que executa o nginx-ignition; dez atacantes simultâneos saturam uma máquina de dez núcleos durante a duração do ataque, consumindo aproximadamente ~10 MiB/s de largura de banda upstream. A versão 2.40.1 corrige este problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.