Udgivelsen af den primære gren nginx 1.31.7 er blevet dannet, hvor fortsættelsen af udviklingen af nye funktioner finder sted, samt udgivelsen af den parallelt understøttede stabile gren nginx 1.30.6, hvor kun ændringer relateret til rettelse af alvorlige fejl og sårbarheder tilføjes. I opdateringerne er der blevet rettet 5 sårbarheder:
- CVE-2026-15176 — buffer overflow, der opstår ved brug af
direktivet «alias» i konfigurationer, som ændrer URI-anmodningen via direktivet
«rewrite» med videre omdirigering til en fil. - CVE-2026-93479 — buffer overflow, der opstår ved udførelse af strengeudtryk med variable og manifesterer sig ved beregning af stien til rodkataloget og ved logning af anmodninger i http- og stream-modulerne.
- CVE-2026-95101 — omgåelse af begrænsningen «client_max_body_size» og indsprøjtning af tredjepartsdata i proxy-anmodningen ved at sende ugyldige rammer i HTTP/3, hvor en del af indholdet kunne være blevet behandlet som anmodningens krop.
- CVE-2026-97629 — forgiftning af TLS-sessioner på grund af en uinitialiseret sessionsnøgle under rotation.
- CVE-2026-97205 — adgang til hukommelse efter frigivelse (use-after-free), der opstår ved brug af SSI-sider med «include virtual»-kommandoer sammen med brug af asynkron I/O (AIO).
Ikke-sårbarhedsrelaterede ændringer i nginx 1.31.7:
- Modulerne ngx_http_geoip_module og ngx_stream_geoip_module har fået tilføjet support for databaser i MaxMind (MMDB) format.
- Muligheden for at kontrollere via IP-adresse er blevet implementeret SSL certificates, som bruges i backend.
- Muligheder for rekonfiguration og opdatering af eksekverbare filer er blevet implementeret ved brug af direktivet quic_bpf i indstillingerne.
- I ngx_http_v2_module er en prioriteringsordning, der svarer til RFC 9218, blevet implementeret.
Samtidigt er udgivelsen njs 1.0.2 tilgængelig, et modul til integrering af JavaScript-tolken i http-serveren nginx. Njs muliggør brug af JavaScript-scripts i konfigurationsfiler for at udvide mulighederne for nginx. Scripts kan bruges til at definere avanceret logik for anmodningsbehandling, generere konfigurationer dynamisk, danne svar, modificere anmodninger/svar eller hurtigt oprette stubbe til at løse problemer i webapplikationer. Projektets kode er skrevet i C og distribueres under BSD-licensen.
I version 1.0.2 af njs er der rettet sårbarheder: udtømning af tilgængelig hukommelse ved parsing af ugyldige XML-data (CVE-2026-101025) og overtrædelse af kontrol af det signerede XML-dokument gennem manipulation med XML-attributter (CVE-2026-101019). Metoderne XMLNode.getAttributeNS() og XMLNode.getChildNS() er blevet tilføjet. Hukommelsesforbruget er reduceret under kompileringen i njs-motoren.
Kilde: opennet.ru
