Se ha formado la versión principal de nginx 1.31.7, en la cual continúa el desarrollo de nuevas funcionalidades, así como el lanzamiento de la versión estable paralela nginx 1.30.6, en la que sólo se realizan cambios relacionados con la corrección de errores graves y vulnerabilidades. En las actualizaciones se han corregido 5 vulnerabilidades:
- CVE-2026-15176 — desbordamiento de búfer que se manifiesta al utilizar
la directiva «alias» en configuraciones que cambian el URI de la solicitud a través de la directiva
«rewrite» con posterior redirección a un archivo. - CVE-2026-93479 — desbordamiento de búfer que ocurre al ejecutar expresiones de cadena con variables y que se manifiesta durante el cálculo del camino al directorio raíz y al registrar solicitudes en los módulos http y stream.
- CVE-2026-95101 — eludir la restricción «client_max_body_size» e inyectar datos externos en la solicitud proxy al transmitir tramas incorrectas en HTTP/3, parte del contenido de las cuales podría haberse procesado como el cuerpo de la solicitud.
- CVE-2026-97629 — suplantación de sesiones TLS debido a que una de las claves de sesión se dejó sin inicializar durante la rotación.
- CVE-2026-97205 — acceso a memoria después de su liberación (use-after-free), que ocurre al usar en páginas SSI los comandos «include virtual» junto con la aplicación de entrada/salida asincrónica (AIO).
Cambios no relacionados con vulnerabilidades en nginx 1.31.7:
- Se ha añadido soporte para bases de datos en formato MaxMind (MMDB) en los módulos ngx_http_geoip_module y ngx_stream_geoip_module.
- Se ha implementado la posibilidad de verificación por dirección IP certificados SSL, utilizadas en el backend.
- Se han implementado capacidades de reconfiguración y actualización del archivo ejecutable al utilizar la directiva quic_bpf en la configuración.
- En el módulo ngx_http_v2_module se ha implementado un esquema de priorización conforme a la RFC 9218.
Está disponible simultáneamente la versión njs 1.0.2, un módulo para integrar el intérprete del lenguaje JavaScript en el servidor http nginx. Njs permite utilizar scripts de JavaScript en archivos de configuración para extender las funcionalidades de nginx. Los scripts pueden usarse para definir lógica de procesamiento de solicitudes más avanzada, generar configuraciones, crear respuestas dinámicas, modificar solicitudes/respuestas o crear rápidamente simulacros para resolver problemas en aplicaciones web. El código del proyecto está escrito en C y se distribuye bajo una licencia BSD.
En la versión njs 1.0.2 se han solucionado vulnerabilidades: agotamiento de la memoria disponible al analizar datos XML incorrectos (CVE-2026-101025) y fallo en la verificación de un documento XML firmado mediante manipulación de atributos XML (CVE-2026-101019). Se han añadido los métodos XMLNode.getAttributeNS() y XMLNode.getChildNS(). Se ha reducido el consumo de memoria al compilar en el motor njs.
Fuente: opennet.ru
