شاخه اصلی nginx 1.31.7 منتشر شده است و توسعه ویژگی‌های جدید را ادامه می‌دهد. شاخه پایدار موازی، nginx 1.30.6، نیز در حال انتشار است که فقط شامل تغییراتی مربوط به رفع اشکالات و آسیب‌پذیری‌های جدی است. این به‌روزرسانی‌ها پنج آسیب‌پذیری را برطرف می‌کنند:
- CVE-2026-15176 - هنگام استفاده از، سرریز بافر رخ می‌دهد.
دستورالعمل‌های "alias" در پیکربندی‌هایی که URI درخواست را از طریق یک دستورالعمل تغییر می‌دهند
"بازنویسی" با تغییر مسیر بعدی به فایل. - CVE-2026-93479 - سرریز بافر هنگام اجرای عبارات رشته‌ای با متغیرها رخ می‌دهد و هنگام محاسبه مسیر دایرکتوری ریشه و هنگام ثبت درخواست‌ها در ماژول‌های http و stream خود را نشان می‌دهد.
- CVE-2026-95101 - دور زدن محدودیت "client_max_body_size" و جایگزینی داده‌های شخص ثالث در یک درخواست پروکسی با ارسال فریم‌های ناقص در HTTP/3، که برخی از محتویات آنها می‌تواند به عنوان بدنه درخواست پردازش شود.
- CVE-2026-97629 - جعل نشست TLS به دلیل مقداردهی اولیه نشدن یکی از کلیدهای نشست در حین چرخش.
- CVE-2026-97205 - یک آسیب‌پذیری استفاده پس از آزادسازی هنگام استفاده از دستورات "include virtual" در صفحات SSI همراه با ورودی/خروجی ناهمزمان (AIO) وجود دارد.
تغییرات غیرمرتبط با آسیب‌پذیری در nginx 1.31.7:
- پشتیبانی از پایگاه‌های داده با فرمت MaxMind (MMDB) به ماژول‌های ngx_http_geoip_module و ngx_stream_geoip_module اضافه شده است.
- قابلیت بررسی بر اساس آدرس IP پیاده‌سازی شد گواهینامه های SSL، در بخش پشتیبانی استفاده می‌شود.
- قابلیت پیکربندی مجدد و به‌روزرسانی فایل اجرایی هنگام استفاده از دستورالعمل quic_bpf در تنظیمات پیاده‌سازی شد.
- ماژول ngx_http_v2_module یک طرح اولویت‌بندی را پیاده‌سازی می‌کند که با RFC 9218 مطابقت دارد.
Njs 1.0.2، ماژولی برای ادغام مفسر جاوا اسکریپت در سرور HTTP Nginx، اکنون در دسترس است. Njs امکان استفاده از اسکریپت‌های جاوا اسکریپت را در فایل‌های پیکربندی برای گسترش قابلیت‌های Nginx فراهم می‌کند. اسکریپت‌ها می‌توانند برای تعریف منطق پردازش درخواست پیشرفته، تولید پیکربندی، تولید پویای پاسخ‌ها، اصلاح درخواست‌ها/پاسخ‌ها یا ایجاد سریع stubها برای حل مشکلات در برنامه‌های وب استفاده شوند. کد پروژه به زبان C نوشته شده و تحت مجوز BSD توزیع شده است.
NJS 1.0.2 آسیب‌پذیری‌های زیر را برطرف می‌کند: خستگی حافظه هنگام تجزیه داده‌های XML ناقص (CVE-2026-101025) و نقض اعتبارسنجی سند XML امضا شده به دلیل دستکاری ویژگی‌های XML (CVE-2026-101019). متدهای XMLNode.getAttributeNS() و XMLNode.getChildNS() اضافه شده‌اند. مصرف حافظه در طول کامپایل در موتور NJS کاهش یافته است.
منبع: opennet.ru
