CVE-2026-78689 in NGINX JavaScript
Sumário
de VulDB • 02/09/2026
Descrição
O NGINX JavaScript (njs) apresenta uma vulnerabilidade no analisador de lista de prefixos de namespace do módulo XML, acessível por meio do método `xml.exclusiveC14n()`. Um atacante remoto não autenticado pode explorá-la quando uma configuração afetada do NGINX passa uma lista de prefixos de namespace controlada externamente para esse método. Tanto os motores njs quanto o QuickJS (qjs) são afetados. Uma lista de prefixos manipulada causa uma gravação fora dos limites além do final de uma alocação em heap. Com o motor njs, que é o motor utilizado quando a diretiva `js_engine` está ausente, isso corrompe objetos adjacentes e provoca a falha (crash) do worker do NGINX. Com o motor QuickJS, a mesma chamada também vaza a lista de prefixos em cada invocação, fazendo com que a memória dos workers cresça ao longo das solicitações. A implementação de referência oficial `nginxinc/nginx-saml` é afetada durante a verificação da assinatura SAML. Ela lê `InclusiveNamespaces/@PrefixList` de uma mensagem SAML não confiável e a passa para `xml.exclusiveC14n()` antes que a assinatura tenha sido verificada, portanto, uma assinatura SAML válida não é necessária. Uma resposta SAML manipulada, Assertiva (Assertion), LogoutRequest ou LogoutResponse são suficientes. A execução de código não foi demonstrada e não pode ser descartada para todas as plataformas, pois o efeito da gravação fora dos limites depende de condições além do controle do atacante.
Impacto
Esta vulnerabilidade permite que atacantes remotos causem uma negação de serviço no sistema NGINX, seja por meio de reinicializações repetidas do worker ou pelo crescimento da memória do worker, ou possivelmente acionar a execução de código. Não há exposição na camada de controle; este é um problema apenas da camada de dados (data plane).
Nota: Versões de software que atingiram o Fim do Suporte Técnico (EoTS) não são avaliadas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.