Tawi kuu la nginx 1.31.7 limetolewa, likiendelea na uundaji wa vipengele vipya. Tawi thabiti sambamba, nginx 1.30.6, pia linatolewa, likiwa na mabadiliko yanayohusiana na kurekebisha hitilafu kubwa na udhaifu. Masasisho haya yanashughulikia udhaifu tano:
- CVE-2026-15176 - Kufurika kwa bafa hutokea wakati wa kutumia
maelekezo ya "jina bandia" katika usanidi yanayobadilisha URI ya ombi kupitia agizo
"andika upya" na uelekezee faili baadaye. - CVE-2026-93479 - Kufurika kwa bafa hutokea wakati wa kutekeleza misemo ya mfuatano yenye vigeu na hujidhihirisha wakati wa kuhesabu njia ya saraka ya mzizi na wakati wa kuweka kumbukumbu katika moduli za http na mkondo.
- CVE-2026-95101 — kupuuza kikomo cha "mteja_max_body_size" na kubadilisha data ya mtu mwingine kuwa ombi lililowekwa kwa kutumia fremu zenye hitilafu katika HTTP/3, ambazo baadhi ya maudhui yake yanaweza kusindika kama mwili wa ombi.
- CVE-2026-97629 - Udanganyifu wa kipindi cha TLS kutokana na kuacha moja ya funguo za kipindi bila kuanzishwa wakati wa mzunguko.
- CVE-2026-97205 - Udhaifu wa kutumia baada ya kutotumia upo wakati wa kutumia amri za "jumuisha pepe" katika kurasa za SSI pamoja na I/O isiyolandana (AIO).
Mabadiliko yanayohusiana na udhaifu katika nginx 1.31.7:
- Usaidizi wa hifadhidata katika umbizo la MaxMind (MMDB) umeongezwa kwenye moduli za ngx_http_geoip_module na ngx_stream_geoip_module.
- Imetekeleza uwezo wa kuangalia kwa anwani ya IP Vyeti vya SSL, inayotumika katika sehemu ya nyuma.
- Imetekeleza uwezo wa kusanidi upya na kusasisha faili inayoweza kutekelezwa wakati wa kutumia maelekezo ya quic_bpf katika mipangilio.
- Moduli ya ngx_http_v2_module hutekeleza mpango wa uwekaji kipaumbele unaofuata RFC 9218.
Njs 1.0.2, moduli ya kuunganisha mkalimani wa JavaScript kwenye seva ya Nginx HTTP, sasa inapatikana. Njs huwezesha matumizi ya hati za JavaScript katika faili za usanidi ili kupanua uwezo wa Nginx. Hati zinaweza kutumika kufafanua mantiki ya usindikaji wa ombi la hali ya juu, kutoa usanidi, kutoa majibu kwa njia inayobadilika, kurekebisha maombi/majibu, au kuunda haraka vijiti ili kutatua masuala katika programu za wavuti. Msimbo wa mradi umeandikwa kwa C na unasambazwa chini ya leseni ya BSD.
NJS 1.0.2 hurekebisha udhaifu ufuatao: uchovu wa kumbukumbu wakati wa kuchanganua data ya XML yenye hitilafu (CVE-2026-101025) na ukiukaji wa uthibitisho wa hati ya XML iliyosainiwa kutokana na ubadilishanaji wa sifa za XML (CVE-2026-101019). Mbinu za XMLNode.getAttributeNS() na XMLNode.getChildNS() zimeongezwa. Matumizi ya kumbukumbu wakati wa mkusanyiko katika injini ya NJS yamepunguzwa.
Chanzo: opennet.ru
