Udgaven af hovedgrenen nginx 1.29.8 er offentliggjort, hvor udviklingen af nye funktioner fortsætter. Der foretages kun ændringer relateret til alvorlige fejl og sårbarheder i den parallelt understøttede stabile gren 1.28.x. I fremtiden vil den stabile gren 1.30 blive dannet på basis af hovedgrenen 1.29.x. Projektets kode er skrevet i C og distribueres under BSD-licensen.
I den nye version:
- Direktivet max_headers er blevet tilføjet for at begrænse det maksimale antal HTTP-overskrifter i anmodningen. Ved overskridelse af grænsen returneres fejl 400 (Bad Request). Muligheden er blevet overført fra FreeNginx.
- Kompatibilitet med OpenSSL 4.0, som er i alfa-testfase, er sikret.
- Det er nu tilladt at bruge masker i direktivet "include", angivet inden for "geo"-blokken.
- En fejl i behandlingen af HTTP-responser med kode 103 (Early Hints), returneret af den proxyede backend, er rettet.
- Utilstrækkelig tildeling af variablerne $request_port og $is_request_port i underforespørgsler er blevet rettet.
Der kan desuden nævnes udgivelsen af projektet FreeNginx 1.29.8, som udvikler en fork af Nginx. Forken er udviklet af Maxim Dunin, en af de centrale udviklere af Nginx. FreeNginx positioneres som et non-profit projekt, der muliggør udviklingen af Nginx-koden uden virksomhedens indblanding. Koden til FreeNginx fortsætter med at blive leveret under BSD-licensen. Den nye version har sikret kompatibilitet med OpenSSL 4.0. Der er rettet et bufferoverløb (CVE-2026-27654) i ngx_http_dav_module, som opstår ved behandling af WebDAV-forespørgsler COPY og MOVE i blokke "location" med direktivet "alias". Muligheden for manipulation af PTR-poster i DNS for at indsætte angriberens data (CVE-2026-28753) i auth_http-forespørgsler og XCLIENT-kommandoen i SMTP-forbindelsen til backenden er blevet elimineret.
Kilde: opennet.ru
