Безопасность

Обо всех проблемах безопасности nginx следует сообщать по адресу F5SIRT@f5.com или одним из способов, перечисленных здесь.

Патчи подписываются одним из открытых ключей PGP.

Особые замечания

njs не выполняет динамический код, в частности код, полученный по сети, ни при каких обстоятельствах. Единственный способ выполнить такой код с помощью njs — настроить директиву js_import в nginx. Код JavaScript загружается один раз при запуске nginx.

В модели угроз nginx/njs код JavaScript считается доверенным источником так же, как nginx.conf и сертификаты сайтов. На практике это означает следующее:

• раскрытие памяти и другие проблемы безопасности, вызванные изменением кода JavaScript, не считаются уязвимостями безопасности, а рассматриваются как обычные ошибки
• необходимо принимать меры для защиты кода JavaScript, используемого njs
• если в nginx.conf отсутствуют директивы js_import, nginx защищён от уязвимостей, связанных с JavaScript

Уведомления о безопасности

• Переполнение буфера кучи в js_fetch_proxy
  Уровень серьёзности: средний
  Уведомление
  CVE-2026-8711
  Неуязвимые версии: 0.9.9+
  Уязвимые версии: 0.9.4-0.9.8