CVE-2026-101025 in JavaScript
摘要
由 VulDB • 2026-10-15
描述
NGINX JavaScript（njs）存在一个漏洞，当 xml.parse() 失败时，内置的 njs 引擎会泄露 libxml2 解析器上下文。该错误路径未注册清理操作，导致上下文在进程生命周期内未被释放。未经身份验证的攻击者可以发送包含格式错误的 XML 的请求，并可能导致长期运行的 NGINX worker 进程中内存无限制增长。
影响
此漏洞可能允许远程攻击者发送触发重复解析格式错误 XML 的请求，从而导致 NGINX worker 终止或服务拒绝（DoS）。不存在控制平面暴露；这仅是数据平面问题。
注意：已达到技术支持结束（EoTS）状态的软件版本不在评估范围内。
If you want to get best quality of vulnerability data, you may have to visit VulDB.