Създадена е версия на основната клон nginx 1.31.7, в рамките на която продължава развитието на нови възможности, както и издаването на паралелно поддържана стабилна версия на nginx 1.30.6, в която се внасят само промени, свързани с отстраняването на сериозни грешки и уязвимости. В актуализациите са отстранени 5 уязвимости:
- CVE-2026-15176 — избухване на буфер, проявяващо се при използване на
директивата „alias“ в конфигурации, променящи URI на заявката чрез директивата
„rewrite“ с последващо пренасочване към файл. - CVE-2026-93479 — преодоляване на буфер, възникващо при изпълнение на стрингови изрази с променливи и проявяващо се при изчисляване на пътя към коренната директория и при логването на заявки в модулите http и stream.
- CVE-2026-95101 — заобикаляне на ограничението „client_max_body_size“ и подмяна на външни данни в прокси запитване чрез изпращане на некоректни фреймове в HTTP/3, част от съдържанието на които може да бъде обработено като тяло на заявката.
- CVE-2026-97629 — фалшифициране на TLS сесии поради оставяне на един от сесиите ключове неинициализиран по време на ротация.
- CVE-2026-97205 — достъп до памет след нейното освобождаване (use-after-free), възникващо при използване на SSI-страници с команди „include virtual“ в съчетание с прилагане на асинхронно вход/изход (AIO).
Не свързани с уязвимости промени в nginx 1.31.7:
- В модулите ngx_http_geoip_module и ngx_stream_geoip_module е добавена поддръжка за бази данни в формат MaxMind (MMDB).
- Реализирана е възможност за проверка по IP адрес, SSL сертификатиизползвани в бекенда.
- Реализирани са възможности за преконфигуриране и обновление на изпълнимия файл при използване на настройките на директивата quic_bpf.
- В модула ngx_http_v2_module е реализирана схема за приоритизиране, съответстваща на RFC 9218.
Съществува и версия njs 1.0.2, модул за интеграция на интерпретатора на JavaScript в http-сървъра nginx. Njs позволява използването на JavaScript скриптове в конфигурационни файлове за разширяване на възможностите на nginx. Скриптовете могат да се използват за определяне на разширена логика при обработка на заявки, генериране на конфигурация, динамично генериране на отговори, модифициране на заявка/отговор или бързо създаване на заглушки с решаване на проблеми в уеб приложения. Кодът на проекта е написан на C и се разпространява под лиценз BSD.
В версия 1.0.2 на njs са отстранени уязвимости: изчерпване на наличната памет при парсинг на некоректни XML данни (CVE-2026-101025) и нарушаване на проверката на подписан XML документ чрез манипулация с XML атрибути (CVE-2026-101019). Добавени са методи XMLNode.getAttributeNS() и XMLNode.getChildNS(). Намалено е потреблението на памет при компилация в движението njs.
Източник: opennet.ru
