NGINX закрыла пять уязвимостей в версиях 1.31.7 и 1.30.6

14 октября 2026 года NGINX выпустила 1.31.7 и 1.30.6 с исправлением пяти уязвимостей, три из которых получили 9.2 по CVSS v4.0. Среди них heap overflow в alias с $request_filename, use-after-free при SSI и AIO, инъекция байтов в HTTP/3 и подделка TLS-сессий.

• CVE-2026-15176: heap overflow в alias с $request_filename, затронуты версии с 0.1.29
• CVE-2026-97205: use-after-free при SSI и AIO, оценка 9.2
• CVE-2026-97629: подделка TLS-сессий при автосмене ключей, оценка 8.3
• CVE-2026-95101: лишние байты к бэкенду по HTTP/3, оценка 6.9