CVE-2026-61629

nginx ignition, nginx veb serveri üçün istifadəçi interfeysidir. 2.29.0 və 2.40.0 versiyaları arasında, nginx-ignition-ın API serverindəki gin i18n middleware hər bir HTTP sorğusundan əvvəl işləyir və heç bir ölçü və ya format filtri tətbiq etmədən xam `Accept-Language` başlığı üzərində `golang.org/x/text/language.ParseAcceptLanguage` funksiyasını çağırır. Altda yatan parser, yanlış formalaşdırılmış dil teqlərinin uzun siyahıları zamanı kvadratik zaman mürəkkəbliyi ilə davranır. golang.org/x/text tərəfindən v0.3.8 versiyasında əlavə edilmiş CVE-2022-32149 mühafizəsi girişdəki `-` simvollarının sayını 1000 ilə məhdudlaşdırır, lakin parser-in daxili skaneri analizdən əvvəl `_` simvolunu `-` ilə eyniləşdirdiyi halda belə, `_` simvolları məhdudlaşdırılmır. `_` ayırıcılardan ibarət `Accept-Language` başlığı olan tək bir autentifikasiya olunmamış GET sorğusu, nginx-ignition işləyən hostda server CPU-sunun təxminən 2.4 saniyəsini sərf edir; on paralel hücumçu, hücum müddətində təxminən 10 MiB/s yuxarı axın zolağına istehlak edərək on nüvəli sistemi tam yükləyir. Versiya 2.40.1 bu problemi aradan qaldırır.