Сформирован выпуск основной ветки nginx 1.31.7, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.6, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 5 уязвимостей:
- CVE-2026-15176 — переполнение буфера, проявляющееся при использовании
директивы «alias» в конфигурациях, меняющих URI запроса через директиву
«rewrite» с дальнейшим перенаправлением на файл. - CVE-2026-93479 — переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логгировании запросов в модулях http и stream
- CVE-2026-95101 — обход ограничения «client_max_body_size» и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могло быть обработано как тело запроса.
- CVE-2026-97629 — подделка TLS-сеансов из-за оставления одного из сессионных ключей неинициализированным во время ротации.
- CVE-2026-97205 — обращение к памяти после её освобождения (use-after-free), возникающее при использовании на SSI-страницах команд «include virtual» в сочетании с применением асинхронного ввода/вывода (AIO).
Не связанные с уязвимостями изменения в nginx 1.31.7:
- В модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB).
- Реализована возможность проверки по IP-адресу SSL certifikáty, используемых в бэкенде.
- Реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf.
- В модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218.
Njs 1.0.2, modul pro integraci interpretu JavaScriptu do HTTP serveru Nginx, je nyní k dispozici. Njs umožňuje použití JavaScriptových skriptů v konfiguračních souborech pro rozšíření možností Nginxu. Skripty lze použít k definování pokročilé logiky zpracování požadavků, generování konfigurace, dynamickému generování odpovědí, úpravě požadavků/odpovědí nebo k rychlému vytváření stubů pro řešení problémů ve webových aplikacích. Kód projektu je napsán v jazyce C a je distribuován pod licencí BSD.
В выпуске njs 1.0.2 устранены уязвимости: исчерпание доступной памяти при разборе некорректных XML-данных (CVE-2026-101025) и нарушение проверки подписанного XML-документа через манипуляцию с XML-атрибутами (CVE-2026-101019). Добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS(). Сокращено потребление памяти при компиляции в движке njs.
Zdroj: opennet.ru
