Janë publikuar patch-e Nginx 1.31.1 dhe 1.30.2, të cilat rregullojnë një dobësi kritike (CVE-2026-9256) që lejon ekzekutimin e kodit në distancë me privilegjet e një procesi punëtor Nginx duke dërguar një kërkesë HTTP të hartuar posaçërisht. Studiuesit që zbuluan problemin kanë demonstruar një shfrytëzim funksional, i cili do të publikohet së bashku me një përshkrim të plotë 30 ditë pas publikimit të patch-it. Dobësia është emëruar me emrin e koduar nginx-poolslip. Problemi shfaqet duke filluar me versionin 0.1.17 të Nginx. Në kohën e shkrimit, nuk janë publikuar patch-e për Angie dhe Freenginx.
Ashtu si një problem i ngjashëm i rregulluar javën e kaluar, kjo dobësi e re shkaktohet nga një mbingarkesë e buffer-it në modulin ngx_http_rewrite_module dhe manifestohet në konfigurime me shprehje të caktuara të rregullta në direktivën "rewrite". Në këtë rast, dobësia prek sistemet me modele zëvendësimi që mbivendosen (kllapa brenda kllapave) në shprehjen e rishkrimit, të tilla si "^/((.*))$" ose "^/(test([123]))$", të kombinuara me përdorimin e zëvendësimeve të shumta pa emër në vargun e zëvendësimit (p.sh., "$1$2").
Gjithashtu, vlen të përmendet publikimi i njs 0.9.9, një modul për integrimin e interpretuesve JavaScript në serverin HTTP nginx. Versioni i ri rregullon një dobësi (CVE-2026-8711) që ka qenë e pranishme që nga njs 0.9.4. Problemi shkaktohet nga një mbingarkesë e buffer-it dhe manifestohet në konfigurime me direktivën js_fetch_proxy, e cila përmban variabla nginx me të dhëna nga kërkesa e klientit (si $http_*, $arg_* dhe $cookie_*), në kombinim me përdorimin e një trajtuesi vendndodhjeje që thërret funksionin ngx.fetch(). Dobësia mund të shfrytëzohet për të ekzekutuar kodin me privilegjet e procesit të punës nginx duke dërguar një kërkesë HTTP të hartuar posaçërisht.
Burimi: opennet.ru
