CVE-2026-78689 in NGINX JavaScript
Сводка
по VulDB • 02.09.2026
Описание
В модуле XML JavaScript-движка NGINX (njs) обнаружена уязвимость в парсере списка префиксов пространств имен, доступная через метод xml.exclusiveC14n(). Неавторизованный удаленный злоумышленник может активировать ее при условии, что конфигурация NGINX передает во этот метод контролируемый извне список префиксов пространств имен. Затронуты как движок njs, так и QuickJS (qjs). Искусственно сформированный список префиксов приводит к записи за пределами выделенной в куче области памяти (out-of-bounds write). При использовании движка njs (который применяется по умолчанию при отсутствии директивы js_engine) это вызывает повреждение соседних объектов и аварийное завершение работы воркера NGINX. В случае использования QuickJS тот же вызов дополнительно приводит к утечке списка префиксов при каждом обращении, что вызывает рост памяти воркера с течением времени обработки запросов. Официальная эталонная реализация nginxinc/nginx-saml затронута во время проверки подписи SAML: она считывает InclusiveNamespaces/@PrefixList из непроверенного сообщения SAML и передает его в xml.exclusiveC14n() до верификации подписи, поэтому для эксплуатации не требуется действительная подпись SAML. Достаточно искусственно сформированных ответов (Response), утверждений (Assertion) или запросов/ответов на выход (LogoutRequest/LogoutResponse). Выполнение кода не было продемонстрировано и не может быть исключено для всех платформ, поскольку последствия записи за пределами буфера зависят от условий, находящихся вне контроля злоумышленника.
Воздействие
Эта уязвимость позволяет удаленным злоумышленникам вызывать отказ в обслуживании (DoS) системы NGINX либо посредством повторяющихся перезапусков воркеров, либо из-за роста потребления памяти воркерами, а также потенциально может привести к выполнению произвольного кода. Угрозы для плоскости управления (control plane) нет; это проблема исключительно плоскости данных (data plane).
Примечание: Версии программного обеспечения, достигшие конца технической поддержки (End of Technical Support, EoTS), не оцениваются.
If you want to get best quality of vulnerability data, you may have to visit VulDB.