Сфарміраваны выпуск асноўнай галіны nginx 1.31.7, у рамках якой працягваецца развіццё новых магчымасцяў, а таксама выпуск раўналежна падтрымоўванай стабільнай галінкі nginx 1.30.6, у якую ўносяцца толькі змены, злучаныя з ухіленнем сур'ёзных памылак і ўразлівасцяў. У абнаўленнях ухілена 5 уразлівасцяў:
- CVE-2026-15176 - перапаўненне буфера, якое праяўляецца пры выкарыстанні
дырэктывы "alias" у канфігурацыях, якія змяняюць URI запыту праз дырэктыву
"rewrite" з далейшым перанакіраваннем на файл. - CVE-2026-93479 — перапаўненне буфера, якое ўзнікае пры выкананні радковых выразаў са зменнымі і праяўляецца пры вылічэнні шляху да каранёвага каталога і пры лагаванні запытаў у модулях http і stream
- CVE-2026-95101 - абыход абмежавання "client_max_body_size" і падстаноўка іншых дадзеных у праксіраваны запыт праз перадачу некарэктных фрэймаў у HTTP/3, частка змесціва якіх магло быць апрацавана як цела запыту.
- CVE-2026-97629 – падробка TLS-сеансаў з-за пакідання аднаго з сесійных ключоў неініцыялізаваным падчас ратацыі.
- CVE-2026-97205 - зварот да памяці пасля яе вызвалення (use-after-free), якое ўзнікае пры выкарыстанні на SSI-старонках каманд «include virtual» у спалучэнні з ужываннем асінхроннага ўводу/высновы (AIO).
Не звязаныя з уразлівасцямі змены ў nginx 1.31.7:
- У модулі ngx_http_geoip_module і ngx_stream_geoip_module дададзена падтрымка БД у фармаце MaxMind (MMDB).
- Рэалізавана магчымасць праверкі па IP-адрасу SSL-сертыфікатаў, якія выкарыстоўваюцца ў бэкендзе.
- Рэалізаваны магчымасці пераканфігурацыі і абнаўленні выкананага файла пры выкарыстанні ў наладах дырэктывы quic_bpf.
- У модулі ngx_http_v2_module рэалізавана схема расстаноўкі прыярытэтаў, якая адпавядае RFC 9218.
Адначасова даступны выпуск njs 1.0.2, модуля для інтэграцыі інтэрпрэтатара мовы JavaScript у http-сервер nginx. Njs дазваляе выкарыстоўваць сцэнары JavaScript у файлах канфігурацыі для пашырэння магчымасцяў nginx. Скрыпты могуць выкарыстоўвацца для вызначэння пашыранай логікі апрацоўкі запытаў, фармаванні канфігурацыі, дынамічнай генерацыі адказаў, мадыфікацыі запыту/адказу ці хуткага стварэння заглушак з рашэннем праблем у web-прыкладаннях. Код праекту напісаны на Сі і распаўсюджваецца пад ліцэнзіяй BSD.
У выпуску njs 1.0.2 ухіленыя ўразлівасці: вычарпанне даступнай памяці пры разборы некарэктных XML-дадзеных (CVE-2026-101025) і парушэнне праверкі падпісанага XML-дакумента праз маніпуляцыю з XML-атрыбутамі (CVE-2026-101019). Дададзены метады XMLNode.getAttributeNS() і XMLNode.getChildNS(). Скарочана спажыванне памяці пры кампіляцыі ў рухавічку njs.
Крыніца: opennet.ru
