{"id":183890,"date":"2026-10-15T04:53:55","date_gmt":"2026-10-15T02:53:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/obnovlenie-nginx-1-31-7-i-njs-1-0-2-s-ustraneniem-uyazvimostej"},"modified":"2026-10-15T04:53:59","modified_gmt":"2026-10-15T02:53:59","slug":"nginx-1-31-7-and-njs-1-0-2-update-with-security-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/nginx-1-31-7-and-njs-1-0-2-update-with-security-fixes","title":{"rendered":"Mise \u00e0 jour de nginx 1.31.7 et njs 1.0.2 avec correction des vuln\u00e9rabilit\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version principale d\u2019nginx 1.31.7 a \u00e9t\u00e9 publi\u00e9e, poursuivant le d\u00e9veloppement de nouvelles fonctionnalit\u00e9s, ainsi que le lancement simultan\u00e9 de la version stable d\u2019nginx 1.30.6, qui n\u2019int\u00e8gre que des changements li\u00e9s \u00e0 la correction de graves bugs et vuln\u00e9rabilit\u00e9s. Cinq vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es dans cette mise \u00e0 jour :<\/p>\n
\n
CVE-2026-15176 \u2014 d\u00e9bordement de m\u00e9moire tampon, se manifestant lors de l'utilisation \n de la directive \u00ab alias \u00bb dans les configurations modifiant l'URI de la requ\u00eate via la directive \n \u00ab rewrite \u00bb avec redirection vers un fichier.<\/p>\n
CVE-2026-93479 \u2014 d\u00e9bordement de m\u00e9moire tampon, se produisant lors de l'ex\u00e9cution d'expressions de cha\u00eenes avec des variables et se manifestant lors du calcul du chemin vers le r\u00e9pertoire racine et lors de la journalisation des requ\u00eates dans les modules http et stream.\n
CVE-2026-95101 \u2014 contournement de la limitation \u00ab client_max_body_size \u00bb et injection de donn\u00e9es externes dans la requ\u00eate proxy en passant des cadres incorrects en HTTP\/3, une partie du contenu pouvant avoir \u00e9t\u00e9 trait\u00e9e comme corps de la requ\u00eate.\n
CVE-2026-97629 \u2014 falsification des sessions TLS en laissant l'une des cl\u00e9s de session non initialis\u00e9e lors de la rotation.\n
CVE-2026-97205 \u2014 acc\u00e8s \u00e0 la m\u00e9moire apr\u00e8s sa lib\u00e9ration (use-after-free), se produisant lors de l'utilisation sur des pages SSI des commandes \u00ab include virtual \u00bb en combinaison avec l'utilisation d'E\/S asynchrone (AIO).\n<\/ul>\n
Modifications non li\u00e9es aux vuln\u00e9rabilit\u00e9s dans nginx 1.31.7 : <\/p>\n
\n
Les modules ngx_http_geoip_module et ngx_stream_geoip_module ont ajout\u00e9 le support des bases de donn\u00e9es au format MaxMind (MMDB).\n