Foi lançado o principal ramo do nginx 1.31.7, no qual continua o desenvolvimento de novas funcionalidades, além do lançamento do ramo estável suportado paralelamente, nginx 1.30.6, que recebe apenas alterações relacionadas à correção de erros graves e vulnerabilidades. Nas atualizações, foram corrigidas 5 vulnerabilidades:
- CVE-2026-15176 — estouro de buffer, que se manifesta ao usar
a diretiva "alias" em configurações que alteram o URI da solicitação através da diretiva
"rewrite" com redirecionamento subsequente para um arquivo. - CVE-2026-93479 — estouro de buffer que ocorre ao executar expressões de string com variáveis e se manifesta ao calcular o caminho para o diretório raiz e ao registrar solicitações nos módulos http e stream.
- CVE-2026-95101 — contorno da limitação "client_max_body_size" e inserção de dados externos na solicitação de proxy através da transmissão de quadros incorretos em HTTP/3, parte do conteúdo dos quais pode ter sido processado como corpo da solicitação.
- CVE-2026-97629 — falsificação de sessões TLS devido à falta de inicialização de uma das chaves de sessão durante a rotação.
- CVE-2026-97205 — acesso à memória após sua liberação (use-after-free), que ocorre ao usar em páginas SSI comandos "include virtual" em combinação com a aplicação de entrada/saída assíncrona (AIO).
Mudanças não relacionadas a vulnerabilidades no nginx 1.31.7:
- Nos módulos ngx_http_geoip_module e ngx_stream_geoip_module, foi adicionada suporte ao banco de dados no formato MaxMind (MMDB).
- Implementada a possibilidade de verificação por endereço IP de certificados SSL, utilizados no backend.
- Implementadas capacidades de reconfiguração e atualização do executável ao usar na configuração a diretiva quic_bpf.
- No módulo ngx_http_v2_module, foi implementado um esquema de priorização de acordo com o RFC 9218.
Disponível simultaneamente, a versão njs 1.0.2, um módulo para integrar o interpretador da linguagem JavaScript ao servidor http nginx. O njs permite o uso de scripts JavaScript em arquivos de configuração para expandir as capacidades do nginx. Os scripts podem ser utilizados para definir lógica avançada de processamento de solicitações, formação de configurações, geração dinâmica de respostas, modificação de solicitações/respostas ou criação rápida de gambiarras para resolver problemas em aplicativos web. O código do projeto é escrito em C e distribuído sob licença BSD.
Na versão njs 1.0.2, foram corrigidas as vulnerabilidades: esgotamento da memória disponível ao analisar dados XML incorretos (CVE-2026-101025) e falha na verificação de documentos XML assinados através da manipulação de atributos XML (CVE-2026-101019). Foram adicionados os métodos XMLNode.getAttributeNS() e XMLNode.getChildNS(). O consumo de memória durante a compilação no mecanismo njs foi reduzido.
Fonte: opennet.ru
