nginx научился выбирать location по содержимому JSON, а njs закрыл дыру в проверке доступа

в NGINX 1.31.5 появились четыре вещи, и первые три раньше требовали njs или Lua: location по любой переменной, чтение тела запроса до выбора location (client_body_early_read), встроенный разбор JSON в переменные и Control API из NGINX Plus. То есть запросы на общий /graphql или /mcp можно разводить по бэкендам по полю method прямо в конфиге. Control API без аутентификации, проект просит вешать его только на UNIX-сокет.

главная причина обновиться: use-after-free при буферизованном проксировании по HTTP/2, клиенту могла уйти освобождённая память. А njs 1.0.1 в тот же день закрыл три CVE, в том числе обход js_access: ошибка внутри проверки пропускала запрос как проверенный. Что ещё исправили и кому обновляться первыми, разобрали на сайте.