Izdana je bila glavna veja nginx 1.31.7, ki nadaljuje razvoj novih funkcij. Izdana je tudi vzporedna stabilna veja nginx 1.30.6, ki vsebuje le spremembe, povezane z odpravljanjem resnih napak in ranljivosti. Te posodobitve odpravljajo pet ranljivosti:
- CVE-2026-15176 - Pri uporabi pride do prekoračitve medpomnilnika
direktive »alias« v konfiguracijah, ki spreminjajo URI zahteve prek direktive
"prepiši" s poznejšo preusmeritvijo v datoteko. - CVE-2026-93479 - Do prelivanja medpomnilnika pride pri izvajanju nizovnih izrazov s spremenljivkami, kar se kaže pri izračunu poti do korenskega imenika in pri beleženju zahtev v modulih http in stream.
- CVE-2026-95101 – obhod omejitve »client_max_body_size« in zamenjava podatkov tretjih oseb v zahtevo prek posrednika s prenosom napačno oblikovanih okvirjev v HTTP/3, pri čemer bi se del vsebine lahko obdelal kot telo zahteve.
- CVE-2026-97629 - Ponarejanje seje TLS zaradi neinicializacije enega od ključev seje med rotacijo.
- CVE-2026-97205 - Pri uporabi ukazov »include virtual« na straneh SSI v povezavi z asinhronim V/I (AIO) obstaja ranljivost »use-after-free«.
Spremembe v nginx 1.31.7, ki niso povezane z ranljivostjo:
- Moduloma ngx_http_geoip_module in ngx_stream_geoip_module je bila dodana podpora za podatkovne baze v formatu MaxMind (MMDB).
- Izvedena je možnost preverjanja po IP naslovu SSL certifikati, ki se uporablja v zaledju.
- Implementirana je možnost ponovne konfiguracije in posodobitve izvedljive datoteke pri uporabi direktive quic_bpf v nastavitvah.
- Modul ngx_http_v2_module izvaja shemo določanja prioritet, ki je skladna z RFC 9218.
Njs 1.0.2, modul za integracijo interpreterja JavaScript v strežnik Nginx HTTP, je zdaj na voljo. Njs omogoča uporabo skriptov JavaScript v konfiguracijskih datotekah za razširitev zmogljivosti Nginxa. Skripte je mogoče uporabiti za definiranje napredne logike obdelave zahtev, ustvarjanje konfiguracije, dinamično ustvarjanje odgovorov, spreminjanje zahtev/odgovorov ali hitro ustvarjanje zavihkov za reševanje težav v spletnih aplikacijah. Koda projekta je napisana v jeziku C in se distribuira pod licenco BSD.
NJS 1.0.2 odpravlja naslednje ranljivosti: izčrpanost pomnilnika pri razčlenjevanju napačno oblikovanih podatkov XML (CVE-2026-101025) in kršitev validacije podpisanega dokumenta XML zaradi manipulacije z atributi XML (CVE-2026-101019). Dodani sta metodi XMLNode.getAttributeNS() in XMLNode.getChildNS(). Poraba pomnilnika med prevajanjem v mehanizmu NJS je bila zmanjšana.
Vir: opennet.ru
