Publiceret udgivelse af hovedgrenen nginx 1.29.8, som fortsætter med at udvikle nye muligheder. I den parallelt understøttede stabile gren 1.28.x indarbejdes kun ændringer relateret til at rette alvorlige fejl og sårbarheder. Fremadrettet vil den stabile gren 1.30 blive dannet på baggrund af hovedgrenen 1.29.x. Projektkoden er skrevet i C og distribueres under BSD-licensen.
- Tilføjet direktiv max_headers, som begrænser det maksimale antal HTTP-overskrifter i anmodningen. Hvis grænsen overskrides, returneres en fejl 400 (Bad Request). Muligheden er overført fra FreeNginx.
- Der er sikret kompatibilitet med bibliotekerne OpenSSL 4.0, som er i fase alphatestning.
- Det er tilladt at bruge masker i direktivet include, angivet inden for blokken “geo”.
- Fejlen i behandlingen af HTTP-svar med statuskode 103 (Early Hints), der returneres af den proxiede backend, er blevet rettet.
- Det er blevet rettet, så variablerne $request_port og $is_request_port ikke blev sendt i underanmodninger.
Derudover kan man nævne udgivelsen af projektet FreeNginx 1.29.7, der udvikler en fork Nginx. Forken udvikles af Maksim Dunin, en af de centrale udviklere af Nginx. FreeNginx positionerer sig som et non-profit projekt, der muliggør udvikling af Nginx-kodebasen uden virksomhedens indblanding. Koden til FreeNginx leveres fortsat under BSD-licensen. I i den nye version er der sikret kompatibilitet med OpenSSL 4.0. Der er rettet et buffer overflow (CVE-2026-27654) i modulet ngx_http_dav_module, der opstår ved behandlingen af WebDAV-anmodninger COPY og MOVE ved brug i blokke location med direktivet alias. Muligheden for manipulation med PTR-poster i DNS for at indsætte angriberens data (CVE-2026-28753) i auth_http-anmodningerne og XCLIENT-kommandoen i SMTP-forbindelsen til backend er blevet rettet.
Kilde: linux.org.ru
