A ti tu awọn abulẹ Nginx 1.31.1 ati 1.30.2 silẹ, ti o ṣatunṣe ipalara pataki kan (CVE-2026-9256) ti o gba laaye ṣiṣe koodu latọna jijin pẹlu awọn anfani ti ilana oṣiṣẹ Nginx nipa fifiranṣẹ ibeere HTTP ti a ṣe ni pataki. Awọn oluwadi ti o ṣawari iṣoro naa ti fihan ilokulo iṣẹ kan, eyiti a yoo tẹjade pẹlu apejuwe kikun ni ọjọ 30 lẹhin ti a ti tu abulẹ naa silẹ. A ti sọ ailera naa ni koodu nginx-poolslip. Ọrọ naa farahan ara rẹ bẹrẹ pẹlu ẹya Nginx 0.1.17. Ni akoko kikọ, ko si awọn abulẹ ti a tẹjade fun Angie ati Freenginx.
Gẹ́gẹ́ bí irú ìṣòro kan náà tí a ti yanjú ní ọ̀sẹ̀ tó kọjá, àìlera tuntun yìí jẹ́ nítorí àkúnwọ́sílẹ̀ buffer nínú module ngx_http_rewrite_module ó sì fara hàn ní àwọn ìṣètò pẹ̀lú àwọn gbólóhùn déédéé kan nínú ìtọ́ni "àtúnkọ". Nínú ọ̀ràn yìí, àìlera náà ní ipa lórí àwọn ètò pẹ̀lú àwọn ìlànà ìyípadà tí ó jọra (àwọn àkọlé láàrín àwọn àkọlé) nínú ìṣàtúnkọ, bíi "^/((.*))$" tàbí "^/(test([123]))$", pẹ̀lú lílo ọ̀pọ̀lọpọ̀ àwọn ìyípadà tí a kò dárúkọ nínú okùn ìyípadà (fún àpẹẹrẹ, "$1$2").
Ohun tó tún ṣe pàtàkì ni ìtújáde njs 0.9.9, module kan fún sísopọ̀ àwọn olùtumọ̀ JavaScript sínú olupin nginx HTTP. Ẹ̀yà tuntun náà ṣe àtúnṣe àìlera kan (CVE-2026-8711) tí ó ti wà láti ìgbà njs 0.9.4. Ìṣòro náà jẹ́ nítorí ìkún omi buffer kan ó sì farahàn ní àwọn ìṣètò pẹ̀lú ìlànà js_fetch_proxy, èyí tí ó ní àwọn oníyípadà nginx pẹ̀lú dátà láti ìbéèrè oníbàárà (bíi $http_*, $arg_*, àti $cookie_*), ní àpapọ̀ pẹ̀lú lílo olùdarí ibi tí ó ń pe iṣẹ́ ngx.fetch(). A lè lo àìlera náà láti ṣe kódì pẹ̀lú àwọn àǹfààní iṣẹ́ òṣìṣẹ́ nginx nípa fífi ìbéèrè HTTP tí a ṣe ní pàtó ránṣẹ́.
orisun: opennet.ru
