Glavna grana nginx 1.31.7 je objavljena, nastavljajući razvoj novih značajki. Također se objavljuje paralelna stabilna grana, nginx 1.30.6, koja sadrži samo promjene vezane uz ispravljanje ozbiljnih grešaka i ranjivosti. Ova ažuriranja rješavaju pet ranjivosti:
- CVE-2026-15176 - Dolazi do prelijevanja međuspremnika prilikom korištenja
direktive "alias" u konfiguracijama koje mijenjaju URI zahtjeva putem direktive
"prepisati" s naknadnim preusmjeravanjem na datoteku. - CVE-2026-93479 - Prelijevanje međuspremnika događa se prilikom izvršavanja string izraza s varijablama, a manifestira se prilikom izračuna puta do korijenskog direktorija i prilikom zapisivanja zahtjeva u http i stream module.
- CVE-2026-95101 — zaobilaženje ograničenja "client_max_body_size" i zamjena podataka treće strane u proxy zahtjev slanjem neispravnih okvira u HTTP/3, čiji se dio sadržaja može obraditi kao tijelo zahtjeva.
- CVE-2026-97629 - Lažno korištenje TLS sesije zbog ostavljanja jednog od ključeva sesije neinicijaliziranim tijekom rotacije.
- CVE-2026-97205 - Postoji ranjivost koja se naziva "korištenje nakon oslobađanja" pri korištenju naredbi "uključi virtualno" u SSI stranicama zajedno s asinkronim I/O (AIO).
Promjene koje nisu povezane s ranjivostima u nginxu 1.31.7:
- Podrška za baze podataka u MaxMind (MMDB) formatu dodana je modulima ngx_http_geoip_module i ngx_stream_geoip_module.
- Implementirana je mogućnost provjere putem IP adrese SSL certifikati, korišten u pozadini.
- Implementirana je mogućnost ponovne konfiguracije i ažuriranja izvršne datoteke pri korištenju direktive quic_bpf u postavkama.
- Modul ngx_http_v2_module implementira shemu prioritetizacije koja je u skladu s RFC 9218.
Njs 1.0.2, modul za integraciju JavaScript interpretera u Nginx HTTP poslužitelj, sada je dostupan. Njs omogućuje korištenje JavaScript skripti u konfiguracijskim datotekama kako bi se proširile mogućnosti Nginxa. Skripte se mogu koristiti za definiranje napredne logike obrade zahtjeva, generiranje konfiguracije, dinamičko generiranje odgovora, izmjenu zahtjeva/odgovora ili brzo stvaranje stubova za rješavanje problema u web aplikacijama. Kod projekta napisan je u C-u i distribuira se pod BSD licencom.
NJS 1.0.2 ispravlja sljedeće ranjivosti: iscrpljenost memorije prilikom parsiranja oštećenih XML podataka (CVE-2026-101025) i kršenje validacije potpisanog XML dokumenta zbog manipulacije XML atributima (CVE-2026-101019). Dodane su metode XMLNode.getAttributeNS() i XMLNode.getChildNS(). Smanjena je potrošnja memorije tijekom kompilacije u NJS engineu.
Izvor: opennet.ru
