CVE-2026-18329

Təsvir NGINX JavaScript (njs) və QuickJS (qjs) mühərriklərində, js_access idarəçisi asinxron sorğu gövdəsinin emalını yerinə yetirdiyi zaman və açıq giriş imtinası qaytarılmamışdan əvvəl asinxron giriş-kontrol qiymətləndirməsi zamanı istisna (exception) baş verdikdə zəiflik yaranır. Autentifikasiya olunmamış hücumçu, giriş təsdiqləmə məntiqində xəta şəraitini tetikləyən xüsusi hazırlanmış HTTP sorğusu göndərməklə bu zəiflikdən istifadə edə bilər. Bu, js_access mərhələsinin "fail open" rejiminə keçməsinə səbəb ola bilər ki, bu da sorğunun rədd edilməsi əvəzinə davam etməsinə, nəticədə autentifikasiyadan və ya avtorizasiyadan yan keçməyə və qorunan resurslara icazəsiz girişə yol açır. Təsir Bu zəiflik uzaqdakı hücumçulara js_access nəzarət mexanizmlərindən yan keçməyə imkan verə bilər. İdarəetmə müstəvisinin (control plane) ifşası yoxdur; bu, yalnız məlumat müstəvisi (data plane) ilə bağlı problemdir. Qeyd: Texniki Dəstəyin Sonu (EoTS) mərhələsinə çatmış proqram versiyaları qiymətləndirilməmişdir.