VULNERABILIDAD
CVE-2026-101025 Fuga de contexto del parser libxml2 en njs de NGINX ante XML malformado
El motor njs integrado filtra un contexto del parser libxml2 cuando falla xml.parse(), ya que la ruta de error no registra la limpieza y el contexto no se libera durante la vida del proceso. Un atacante no autenticado puede enviar solicitudes con XML malformado y causar crecimiento ilimitado de memoria en workers de NGINX de larga duración, lo que puede llevar a la terminación del worker o a denegación de servicio; es un problema solo de plano de datos.
Alerta de Nureq Monitor
Detectada 14 OCT · 13:02
CVSS 3.1
5.3MEDIACVSS 4.0
6.9 MEDIA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 23
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-101025
El motor njs integrado filtra un contexto del parser libxml2 cuando falla xml.parse(), ya que la ruta de error no registra la limpieza y el contexto no se libera durante la vida del proceso. Un atacante no autenticado puede enviar solicitudes con XML malformado y causar crecimiento ilimitado de memoria en workers de NGINX de larga duración, lo que puede llevar a la terminación del worker o a denegación de servicio; es un problema solo de plano de datos.
Productos y versiones afectadas
F5 NGINX JavaScript
Qué hacer
- Verificá si usás NGINX JavaScript y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Baja
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Ninguna
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Baja
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Description
NGINX JavaScript (njs) has a vulnerability where the built-in njs engine leaks a libxml2 parser context when xml.parse() fails. The failure path did not register cleanup and the context was not released for the lifetime of the process. An unauthenticated attacker may send requests with malformed XML and can cause unbounded memory growth in long-lived NGINX worker processes.
Impact
This vulnerability may allow remote attackers to send requests that trigger repeated parsing of malformed XML and may lead to NGINX worker termination or denial of service. There is no control plane exposure; this is a data plane issue only.
Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Referencias
- my.f5.com/manage/s/article/K000162614VENDOR-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.