Opublikowano wydanie głównej gałęzi nginx 1.29.8, w której kontynuowane są prace nad nowymi funkcjonalnościami. W równolegle wspieranej stabilnej gałęzi 1.28.x wprowadzane są jedynie zmiany związane z usuwaniem poważnych błędów i luk w zabezpieczeniach. W przyszłości na bazie głównej gałęzi 1.29.x zostanie utworzona stabilna gałąź 1.30. Kod projektu napisany jest w języku C i jest udostępniany na licencji BSD.
W nowym wydaniu:
- Dodano dyrektywę max_headers, ograniczającą maksymalną liczbę nagłówków HTTP w żądaniu. Przy przekroczeniu limitu zwracany jest błąd 400 (Bad Request). Funkcja została przeniesiona z FreeNginx.
- Zapewniono zgodność z biblioteką OpenSSL 4.0, która jest w fazie testów alfa.
- Zezwolono na używanie masek w dyrektywie „include”, wskazanej wewnątrz bloku „geo”.
- Poprawiono błąd w obsłudze odpowiedzi HTTP z kodem 103 (Early Hints), zwracanych przez backend proxy.
- Usunięto problem z niewyznaczaniem zmiennych $request_port i $is_request_port w podżądaniach.
Dodatkowo można zauważyć publikację wydania projektu FreeNginx 1.29.8, rozwijającego fork Nginx. Rozwój forka prowadzi Maksym Dunin, jeden z kluczowych deweloperów Nginx. FreeNginx pozycjonuje się jako projekt non-profit, zapewniający rozwój kodu bazy Nginx bez ingerencji korporacyjnej. Kod FreeNginx również jest udostępniany na licencji BSD. W nowej wersji zapewniono zgodność z OpenSSL 4.0. Usunięto przekroczenie bufora (CVE-2026-27654) w module ngx_http_dav_module, występujące podczas obsługi żądań WebDAV COPY i MOVE przy użyciu dyrektywy „alias” w blokach „location”. Usunięto możliwość manipulacji rekordami PTR w DNS w celu podstawienia danych atakującego (CVE-2026-28753) w żądania auth_http oraz komendę XCLIENT w połączeniu SMTP do backendu.
Źródło: opennet.ru
