Glavna grana nginx 1.31.7 je objavljena, nastavljajući razvoj novih funkcija. Također se objavljuje paralelna stabilna grana, nginx 1.30.6, koja sadrži samo promjene vezane za ispravljanje ozbiljnih grešaka i ranjivosti. Ova ažuriranja rješavaju pet ranjivosti:
- CVE-2026-15176 - Dolazi do prelijevanja bafera prilikom korištenja
"alias" direktive u konfiguracijama koje mijenjaju URI zahtjeva putem direktive
"prepisivanje" s naknadnim preusmjeravanjem na datoteku. - CVE-2026-93479 - Do prelijevanja bafera dolazi prilikom izvršavanja string izraza s varijablama, a manifestira se prilikom izračunavanja putanje do korijenskog direktorija i prilikom evidentiranja zahtjeva u http i stream modulima.
- CVE-2026-95101 — zaobilaženje ograničenja "client_max_body_size" i zamjena podataka treće strane u proxy zahtjev slanjem neispravnih okvira u HTTP/3, čiji se dio sadržaja može obraditi kao tijelo zahtjeva.
- CVE-2026-97629 - Lažno korištenje TLS sesije zbog ostavljanja jednog od ključeva sesije neinicijaliziranim tokom rotacije.
- CVE-2026-97205 - Postoji ranjivost koja omogućava korištenje nakon oslobađanja od resursa prilikom korištenja naredbi "uključi virtuelno" u SSI stranicama zajedno s asinhronim I/O (AIO).
Promjene koje nisu povezane s ranjivostima u nginx 1.31.7:
- Podrška za baze podataka u MaxMind (MMDB) formatu je dodana modulima ngx_http_geoip_module i ngx_stream_geoip_module.
- Implementirana je mogućnost provjere putem IP adrese SSL certifikati, korišten u pozadini.
- Implementirana je mogućnost rekonfiguracije i ažuriranja izvršne datoteke kada se koristi direktiva quic_bpf u postavkama.
- Modul ngx_http_v2_module implementira shemu prioritetizacije koja je u skladu sa RFC 9218.
Njs 1.0.2, modul za integraciju JavaScript interpretera u Nginx HTTP server, sada je dostupan. Njs omogućava korištenje JavaScript skripti u konfiguracijskim datotekama kako bi se proširile mogućnosti Nginxa. Skripte se mogu koristiti za definiranje napredne logike obrade zahtjeva, generiranje konfiguracije, dinamičko generiranje odgovora, modificiranje zahtjeva/odgovora ili brzo kreiranje stubova za rješavanje problema u web aplikacijama. Kod projekta je napisan u C-u i distribuira se pod BSD licencom.
NJS 1.0.2 ispravlja sljedeće ranjivosti: iscrpljenost memorije prilikom parsiranja oštećenih XML podataka (CVE-2026-101025) i kršenje validacije potpisanog XML dokumenta zbog manipulacije XML atributima (CVE-2026-101019). Dodane su metode XMLNode.getAttributeNS() i XMLNode.getChildNS(). Potrošnja memorije tokom kompajliranja u NJS engine-u je smanjena.
izvor: opennet.ru
