Die hoof nginx 1.31.7-tak is vrygestel, wat die ontwikkeling van nuwe funksies voortsit. Die parallelle stabiele tak, nginx 1.30.6, word ook vrygestel en bevat slegs veranderinge wat verband hou met die regstel van ernstige foute en kwesbaarhede. Hierdie opdaterings spreek vyf kwesbaarhede aan:
- CVE-2026-15176 - 'n Bufferoorloop vind plaas wanneer gebruik word
"alias"-riglyne in konfigurasies wat die versoek-URI via 'n riglyn verander
"herskryf" met daaropvolgende herleiding na die lêer. - CVE-2026-93479 - 'n Bufferoorloop vind plaas wanneer stringuitdrukkings met veranderlikes uitgevoer word en manifesteer wanneer die pad na die wortelgids bereken word en wanneer versoeke in die http- en stroommodules aangeteken word.
- CVE-2026-95101 — omseil die "client_max_body_size"-beperking en vervang derdeparty-data in 'n proxy-versoek deur misvormde rame in HTTP/3 oor te dra, waarvan sommige inhoud as die versoekliggaam verwerk kan word.
- CVE-2026-97629 - TLS-sessie-namaaksel as gevolg van die feit dat een van die sessiesleutels tydens rotasie ongeïnisialiseer gelaat is.
- CVE-2026-97205 - 'n Gebruik-na-vrystelling-kwesbaarheid bestaan wanneer "sluit virtuele"-opdragte in SSI-bladsye in samewerking met asynchrone I/O (AIO) gebruik word.
Nie-kwesbaarheidsverwante veranderinge in nginx 1.31.7:
- Ondersteuning vir databasisse in MaxMind (MMDB) formaat is bygevoeg tot die ngx_http_geoip_module en ngx_stream_geoip_module modules.
- Die vermoë om volgens IP-adres te kontroleer, is geïmplementeer SSL-sertifikate, wat in die agterkant gebruik word.
- Die vermoë om die uitvoerbare lêer te herkonfigureer en op te dateer wanneer die quic_bpf-opdrag in die instellings gebruik word, is geïmplementeer.
- Die ngx_http_v2_module module implementeer 'n prioritiseringskema wat voldoen aan RFC 9218.
Njs 1.0.2, 'n module vir die integrasie van 'n JavaScript-interpreteerder in die Nginx HTTP-bediener, is nou beskikbaar. Njs maak die gebruik van JavaScript-skripte in konfigurasielêers moontlik om Nginx se vermoëns uit te brei. Skripte kan gebruik word om gevorderde versoekverwerkingslogika te definieer, konfigurasie te genereer, antwoorde dinamies te genereer, versoeke/antwoorde te wysig, of vinnig stompies te skep om probleme in webtoepassings op te los. Die projekkode is in C geskryf en word versprei onder die BSD-lisensie.
NJS 1.0.2 maak die volgende kwesbaarhede reg: geheue-uitputting tydens die ontleding van misvormde XML-data (CVE-2026-101025) en 'n skending van die validering van getekende XML-dokumente as gevolg van manipulasie van XML-attribuut (CVE-2026-101019). Die XMLNode.getAttributeNS()- en XMLNode.getChildNS()-metodes is bygevoeg. Geheueverbruik tydens samestelling in die NJS-enjin is verminder.
Bron: opennet.ru
