Le moteur njs intégré ne libère pas un contexte du parseur libxml2 lorsque xml.parse() échoue, ce qui permet à un attaquant distant d’accumuler de la mémoire en envoyant des requêtes contenant du XML malformé. Cette croissance peut terminer des workers NGINX ou provoquer un déni de service ; les versions corrigées ne sont pas indiquées dans les données fournies.
Source : NVD — CVE-2026-101025
Analyse technique
Le chemin d’échec de xml.parse() n’enregistre pas le nettoyage du contexte libxml2, qui reste alloué pendant la durée de vie du processus. Des parses répétés de XML malformé peuvent entraîner une croissance mémoire sans borne dans les workers NGINX.
Impact, versions et correctif
Détection / vérification
Vérifier si NGINX utilise le module XML njs et traiter des documents XML invalides dans des processus worker de longue durée.
Action recommandée
Consulter les avis du fournisseur pour identifier et appliquer les versions corrigées ; surveiller la consommation mémoire des workers NGINX.
Sources
Priorisation DFS : P4 · 1 source(s).