Publication de nginx 1.31.5 et njs 1.0.1

La version principale de nginx 1.31.5 a été publiée, notamment pour continuer le développement de nouvelles fonctionnalités. La branche stable 1.30.x, maintenue en parallèle, ne reçoit que des modifications liées à la correction de graves bogues et vulnérabilités. À l'avenir, une branche stable 1.32 sera formée sur la base de la branche principale 1.31.x. Le code du projet est écrit en C et est distribué sous la licence BSD.

Dans cette nouvelle version :

• Une API Rest a été ajoutée pour la gestion externe, permettant de recharger la configuration à distance, d'obtenir des données de paramètres et de visualiser l'état des processus en cours. Pour activer la prise en charge de l'API, une option de construction « —with-control-api » et un argument en ligne de commande « -l » sont prévus. Il est recommandé de lier l'API à un socket unix (nginx -l unix:/path/to/sock). L'utilitaire Curl peut être utilisé pour accéder à l'API.
• Il est maintenant possible d'utiliser une variable commençant par le caractère « $ » comme valeur de la directive Location. La valeur de la variable, calculée au moment de l'exécution, détermine les conditions d'entrée dans le bloc Location. De tels Location peuvent être utilisés à l'intérieur d'autres blocs Location ou contenir eux-mêmes des Location imbriqués. map $arg_foo $pred { bar 1; qux 1; } location $pred { root html; }
• Le module ngx_http_json_module a été implémenté, offrant des capacités pour analyser des données au format JSON, extraire des champs spécifiques de JSON et utiliser ces champs comme variables dans la configuration nginx.
• La directive « client_body_early_read » a été ajoutée, dont l'activation conduit à lire le corps de la requête immédiatement après la réception des en-têtes.

La version njs 1.0.1 est également disponible, un module intégrant l'interpréteur JavaScript dans le serveur http nginx. Njs permet d'utiliser des scripts JavaScript dans les fichiers de configuration pour étendre les fonctionnalités de nginx. Les scripts peuvent être utilisés pour définir une logique avancée de traitement des requêtes, générer dynamiquement des réponses, modifier des requêtes/réponses ou créer rapidement des bouchons pour résoudre des problèmes dans des applications web. Le code du projet est écrit en C et est distribué sous la licence BSD.

Dans la version njs 1.0.1, trois vulnérabilités ont été corrigées : un débordement de tampon dans la fonction xml.exclusiveC14n (CVE-2026-78689), un contournement de la restriction d'accès via js_access (CVE-2026-18329) et un appel à l'arrêt d'un processus de travail via des manipulations avec ngx.fetch (CVE-2026-78222).

Source : opennet.ru