nginx 主分支 1.31.7 已發布，繼續開發新功能。同時發布的還有穩定分支 nginx 1.30.6，該分支僅包含修復嚴重漏洞和缺陷的相關變更。這些更新修復了以下五個漏洞：
- CVE-2026-15176 - 使用時發生緩衝區溢出
配置中的「alias」指令會透過指令更改請求URI。
“重寫”並隨後重定向到該檔案。 - CVE-2026-93479 - 當使用變數執行字串表達式時會發生緩衝區溢出，並且在計算根目錄路徑以及在 http 和 stream 模組中記錄請求時會表現出來。
- CVE-2026-95101 — 透過在 HTTP/3 中傳輸格式錯誤的訊框來繞過「client_max_body_size」限制，並將第三方資料替換到代理請求中，其中一些幀的內容可能會被處理為請求正文。
- CVE-2026-97629 - 由於在輪換期間未初始化其中一個會話金鑰，導致 TLS 會話欺騙。
- CVE-2026-97205 - 當在 SSI 頁面中使用「include virtual」指令並結合非同步 I/O (AIO) 時，有釋放後使用漏洞。
nginx 1.31.7 中與漏洞無關的變更：
- ngx_http_geoip_module 和 ngx_stream_geoip_module 模組已新增對 MaxMind (MMDB) 格式資料庫的支援。
- 實現了按 IP 位址檢查的功能 SSL 憑證在後端使用。
- 實作了在使用設定中的 quic_bpf 指令時重新配置和更新可執行檔的功能。
- ngx_http_v2_module 模組實作了符合 RFC 9218 的優先權方案。
用於將 JavaScript 解釋器整合到 Nginx HTTP 伺服器的模組 Njs 1.0.2 現已發布。 Njs 允許在設定檔中使用 JavaScript 腳本來擴充 Nginx 的功能。腳本可用於定義進階請求處理邏輯、產生配置、動態生成回應、修改請求/回應，或快速建立存根來解決 Web 應用程式中的問題。此專案代碼使用 C 語言編寫，並以 BSD 許可證發布。
NJS 1.0.2 修正了以下漏洞：解析格式錯誤的 XML 資料時導致的記憶體耗盡漏洞 (CVE-2026-101025) 以及由於 XML 屬性操作而導致的簽章 XML 文件驗證違規 (CVE-2026-101019)。新增了 XMLNode.getAttributeNS() 和 XMLNode.getChildNS() 方法。 NJS 引擎編譯期間的記憶體消耗也降低了。
來源： opennet.ru
