È stata rilasciata la versione principale di nginx 1.31.7, che continua a sviluppare nuove funzionalità, insieme al rilascio della versione stabile 1.30.6, che viene supportata parallelamente e in cui vengono apportate solo modifiche relative alla correzione di gravi bug e vulnerabilità. Negli aggiornamenti sono state corrette 5 vulnerabilità:
- CVE-2026-15176 — overflow del buffer che si verifica durante l'uso
della direttiva «alias» nelle configurazioni che modificano l'URI della richiesta tramite la direttiva
«rewrite» con successivo reindirizzamento a un file. - CVE-2026-93479 — overflow del buffer che si verifica durante l'esecuzione di espressioni stringa con variabili e che si manifesta nel calcolo del percorso della directory principale e nella registrazione delle richieste nei moduli http e stream
- CVE-2026-95101 — bypass del limite «client_max_body_size» e inserimento di dati esterni nella richiesta proxy attraverso l'invio di frame non corretti in HTTP/3, parte del contenuto dei quali potrebbe essere stato elaborato come corpo della richiesta.
- CVE-2026-97629 — falsificazione delle sessioni TLS a causa di uno dei più chiavi di sessione che rimane non inizializzata durante la rotazione.
- CVE-2026-97205 — accesso alla memoria dopo che è stata liberata (use-after-free), che si verifica durante l'uso di pagine SSI con comandi «include virtual» combinati con l'uso di input/output asincrono (AIO).
Modifiche non relative a vulnerabilità in nginx 1.31.7:
- Nei moduli ngx_http_geoip_module e ngx_stream_geoip_module è stato aggiunto il supporto per i database nel formato MaxMind (MMDB).
- È stata realizzata la possibilità di verificare per indirizzo IP dei certificati SSL, utilizzato nel backend.
- Sono state implementate funzionalità di riconfigurazione e aggiornamento del file eseguibile quando si utilizza la direttiva quic_bpf nelle impostazioni.
- Nel modulo ngx_http_v2_module è stata implementata una scheda di prioritizzazione che corrisponde alla RFC 9218.
È disponibile anche la versione njs 1.0.2, un modulo per integrare l'interprete del linguaggio JavaScript nel server http nginx. Njs consente di utilizzare script JavaScript nei file di configurazione per estendere le capacità di nginx. Gli script possono essere utilizzati per definire una logica di elaborazione richiesta avanzata, generare configurazioni, generare dinamicamente risposte, modificare richieste/risposte o creare rapidamente stub per risolvere problemi nelle web application. Il codice del progetto è scritto in C e distribuito con licenza BSD.
Nella versione njs 1.0.2 sono state corrette le vulnerabilità: esaurimento della memoria disponibile nell'analisi di dati XML non validi (CVE-2026-101025) e violazione della verifica di un documento XML firmato tramite manipolazione degli attributi XML (CVE-2026-101019). Sono stati aggiunti i metodi XMLNode.getAttributeNS() e XMLNode.getChildNS(). Ridotto il consumo di memoria durante la compilazione nel motore njs.
Fonte: opennet.ru
