CVE-2026-61629 in nginx-ignition
Сводка
по VulDB • 21.09.2026
nginx ignition — это пользовательский интерфейс для веб-сервера nginx. В версиях от 2.29.0 до 2.40.0 включительно middleware gin i18n в API-сервере nginx-ignition обрабатывает каждый HTTP-запрос и вызывает функцию `golang.org/x/text/language.ParseAcceptLanguage` для необработанного заголовка `Accept-Language`, не применяя никаких ограничений по размеру или структуре. Базовый парсер демонстрирует квадратичную сложность выполнения (quadratic-time behaviour) при обработке длинных списков некорректных языковых тегов. Защита CVE-2022-32149, добавленная в библиотеку golang.org/x/text версии v0.3.8, ограничивает количество символов `-` во входных данных до 1000, однако она не накладывает аналогичного ограничения на символы `_`, хотя внутренний сканер парсера преобразует (алиасит) символ `_` в `-` перед началом разбора. Один единственный GET-запрос от неавторизованного пользователя с заголовком `Accept-Language`, состоящим из разделителей `_`, потребляет около 2,4 секунд процессорного времени сервера на хосте, где запущен nginx-ignition; десять одновременных атакующих могут насытить (исчерпать ресурсы) десятиядерную систему в течение всего времени атаки, потребляя при этом примерно 10 МБ/с пропускной способности исходящего канала. Версия 2.40.1 устраняет эту уязвимость.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.