Se ha detectado una nueva vulnerabilidad en NGINX JavaScript (njs), identificada como CVE-2026-8711. Esta falla permite que atacantes remotos no autenticados provoquen un desbordamiento de búfer basado en el heap, lo que podría resultar en la denegación de servicio (DoS) y, en ciertas condiciones, en la ejecución remota de código en el proceso trabajador de NGINX. El problema se origina en la forma en que la directiva js_fetch_proxy gestiona variables controladas por el cliente al combinarse con la operación ngx.fetch().

Una nueva vulnerabilidad en NGINX JavaScript (njs), identificada como CVE‑2026‑8711, permite que atacantes remotos no autenticados provoquen un desbordamiento de búfer basado en el montículo (heap), lo que puede derivar en una denegación de servicio y, en algunas condiciones, en la ejecución remota de código en el proceso trabajador de NGINX.

El fallo está relacionado con la forma en que la directiva js_fetch_proxy gestiona las variables controladas por el cliente cuando se combina con la operación ngx.fetch() de NGINX JavaScript.

El problema surge en el módulo ngx_http_js_module cuando js_fetch_proxy está configurado con al menos una variable de NGINX controlada por el cliente.

Si una ubicación invoca entonces una función NJS que llama a ngx.fetch(), un atacante puede enviar solicitudes HTTP manipuladas que resulten en un desbordamiento de búfer en el montículo en el proceso trabajador de NGINX.

Vulnerabilidad de Desbordamiento de Búfer de NGINX

La vulnerabilidad está clasificada como CWE‑122: Heap‑based Buffer Overflow y es rastreada internamente por F5 con el ID 160 para NGINX Plus y NGINX OSS.

Este defecto provoca principalmente la caída del proceso trabajador y reinicios automáticos, produciendo efectivamente una condición de denegación de servicio (DoS) en el plano de datos de NGINX.

En sistemas donde la Aleatorización del Diseño del Espacio de Direcciones (ASLR) está desactivada o mal configurada, el desbordamiento puede ser explotable para ejecutar código arbitrario en el contexto del trabajador.

La vulnerabilidad afecta a las versiones de NGINX JavaScript (njs) 0.9.4 hasta la 0.9.8, y la corrección se introdujo en njs 0.9.9.

El componente afectado es el módulo ngx_http_js_module, que expone directivas de procesamiento HTTP basadas en NJS como js_content y js_fetch_proxy.

Un patrón vulnerable típico es una configuración en la que js_fetch_proxy construye una URL de proxy utilizando encabezados proporcionados por el cliente, por ejemplo, $http_x_user y $http_x_password, y js_content apunta a una función NJS (por ejemplo, main.fetcher) que llama a ngx.fetch() con esa URL.

En esta configuración, un atacante puede manipular esos valores de encabezado para corromper la memoria del montículo en el trabajador de NGINX y provocar caídas repetitivas.

F5 afirmó en el artículo K000161307 que el problema se limita al plano de datos y no afecta al plano de control.

Se ha informado que otros productos y servicios de F5, como BIG‑IP, BIG‑IQ, BIG‑IP Next, F5OS y los servicios de F5 Distributed Cloud, no son vulnerables a CVE‑2026‑8711 en sus versiones evaluadas.

Se recomienda encarecidamente a los administradores que utilicen versiones afectadas de njs que actualicen a NGINX JavaScript 0.9.9 o posterior como medida de remediación principal.

Los entornos donde se aplique la columna de "Versiones conocidas como vulnerables" deben migrar a una versión listada en la columna de "Correcciones introducidas en" o posterior.

En los casos donde no sea posible una actualización inmediata, debes revisar las configuraciones del uso de js_fetch_proxy con variables controladas por el cliente y refactorizar o eliminar estos patrones, además de asegurarte de que ASLR esté activado en todos los hosts de NGINX para dificultar los intentos de ejecución de código.