تم إصدار الفرع الرئيسي nginx 1.31.7، والذي يواصل تطوير ميزات جديدة. كما تم إصدار الفرع المستقر الموازي nginx 1.30.6، والذي يحتوي فقط على تغييرات تتعلق بإصلاح الأخطاء والثغرات الأمنية الخطيرة. تعالج هذه التحديثات خمس ثغرات أمنية:
- CVE-2026-15176 - يحدث تجاوز سعة المخزن المؤقت عند استخدام
توجيهات "الأسماء المستعارة" في التكوينات التي تُغير عنوان URI للطلب عبر توجيه
"إعادة كتابة" مع إعادة توجيه لاحقة إلى الملف. - CVE-2026-93479 - يحدث تجاوز سعة المخزن المؤقت عند تنفيذ تعبيرات السلسلة مع المتغيرات ويظهر ذلك عند حساب المسار إلى الدليل الجذر وعند تسجيل الطلبات في وحدات http و stream.
- CVE-2026-95101 — تجاوز قيود "client_max_body_size" واستبدال بيانات الطرف الثالث في طلب وسيط عن طريق إرسال إطارات مشوهة في HTTP/3، والتي يمكن معالجة بعض محتوياتها كجسم الطلب.
- CVE-2026-97629 - انتحال جلسة TLS بسبب ترك أحد مفاتيح الجلسة غير مهيأ أثناء التدوير.
- CVE-2026-97205 - توجد ثغرة أمنية من نوع "استخدام بعد التحرير" عند استخدام أوامر "تضمين افتراضي" في صفحات SSI بالتزامن مع الإدخال/الإخراج غير المتزامن (AIO).
التغييرات غير المتعلقة بالثغرات الأمنية في nginx 1.31.7:
- تمت إضافة دعم قواعد البيانات بتنسيق MaxMind (MMDB) إلى وحدات ngx_http_geoip_module و ngx_stream_geoip_module.
- تم تفعيل إمكانية التحقق عن طريق عنوان IP شهادات SSL، المستخدمة في الواجهة الخلفية.
- تم تطبيق إمكانية إعادة تكوين وتحديث الملف القابل للتنفيذ عند استخدام توجيه quic_bpf في الإعدادات.
- تقوم وحدة ngx_http_v2_module بتنفيذ مخطط تحديد الأولويات الذي يتوافق مع RFC 9218.
يتوفر الآن Njs 1.0.2، وهو وحدة برمجية لدمج مترجم جافا سكريبت في خادم Nginx HTTP. يُمكّن Njs من استخدام نصوص جافا سكريبت في ملفات التكوين لتوسيع إمكانيات Nginx. يمكن استخدام هذه النصوص البرمجية لتحديد منطق متقدم لمعالجة الطلبات، وإنشاء التكوين، وتوليد الاستجابات ديناميكيًا، وتعديل الطلبات/الاستجابات، أو إنشاء نماذج أولية بسرعة لحل المشكلات في تطبيقات الويب. كُتب كود المشروع بلغة C ويُوزع بموجب ترخيص BSD.
يُعالج الإصدار 1.0.2 من NJS الثغرات الأمنية التالية: استنفاد الذاكرة عند تحليل بيانات XML غير صحيحة (CVE-2026-101025)، وانتهاك التحقق من صحة مستند XML المُوقّع نتيجةً للتلاعب بسمات XML (CVE-2026-101019). تمت إضافة الدالتين XMLNode.getAttributeNS() و XMLNode.getChildNS(). كما تم تقليل استهلاك الذاكرة أثناء عملية التجميع في محرك NJS.
المصدر: opennet.ru
