Mutter 51.1 corregge il drag and drop tra Wayland e Xwayland
Mutter 51.1 corregge il drag and drop tra un client Wayland e uno Xwayland, ed è una delle modifiche di GNOME 51.1, la release di correzione che il GNOME Release Team ha annunciato il 18 ottobre 2026 su GNOME Discourse. Il progetto invita tutti i sistemi operativi che distribuiscono GNOME 51 ad aggiornare, e definisce la 51.1 «a boring bugfix update», pensato per essere un passaggio sicuro e senza sorprese rispetto alle versioni precedenti della serie 51.
Per chi usa una distribuzione con GNOME 51 la questione pratica è dunque attendere il pacchetto aggiornato della propria distribuzione. Dentro ci sono anche correzioni di sicurezza in componenti sottostanti come libsoup, librsvg ed Epiphany, già disponibili nei rispettivi rilasci.
Shell, Mutter e i moduli principali della 51.1
Per compilare la 51.1 il progetto indica lo snapshot ufficiale di BuildStream; l’elenco dei moduli aggiornati è linkato nell’annuncio. Secondo le note di gnome-build-meta 51.1, passano alla 51.1 Mutter, GNOME Shell, Nautilus, Papers, Orca, Epiphany, GNOME Settings Daemon, Control Center e Initial Setup. Tra le librerie compaiono glib 2.90.1, gtk 4.24.1, libsoup 3.8.0 e at-spi2-core 2.62.1. Altri moduli, come gdm, libadwaita, gnome-session, gnome-software e gnome-console, non sono stati toccati.
Le note elencano per GNOME Shell 51.1 queste correzioni:
- layout di login web e banner migliorato;
- centratura delle miniature degli spazi di lavoro nelle lingue scritte da destra a sinistra;
- applicazione del filtro colore con scala di grigi completa;
- chiusura della notifica di mount quando il disco viene scollegato;
- posizione dell’orologio sulla schermata di blocco;
- messaggi dei servizi di autenticazione legacy che interferivano con SSSD;
- quick settings che impediva il direct scanout;
- diverse perdite di memoria.
Cambiano anche due dettagli interni: le estensioni vengono ora estratte con gnome-autoar e Mutter può ripiegare su XCursor.
Le correzioni di sicurezza nei componenti sottostanti
La parte più consistente è libsoup 3.8.0 (da 3.7.3), che le note raggruppano in tre filoni:
- autenticazione: controllo della validità del
noncenella Digest authentication (CVE-2026-3099) e niente invio delle credenziali proxy in cache dopo un redirect verso un’altra origine; - gestione multipart: correzione di una lettura fuori limiti quando nel buffer ci sono meno dati del boundary (CVE-2026-66337) e limite alla lunghezza degli header delle parti;
- request smuggling lato server: chiusura della connessione dopo una risposta anticipata a
Expect: 100-continue, rifiuto degli headerHostcon delimitatori URI, obbligo che il chunk-size inizi con una cifra esadecimale.
Epiphany 51.1 chiude la CVE-2026-94291, che permetteva un iframe insicuro attraverso lo schema view-source / ephy-reader; la voce del changelog porta la data del 24 settembre 2026. librsvg 2.63.2 corregge invece un use-after-free con entità XML duplicate in documenti Xinclude annidati. Le note precisano che la 2.63.1 è da considerare non funzionante, perché il crate chacha20 0.10.1 era stato ritirato da crates.io.
Tra i moduli aggiornati figura anche GtkSourceView 5.22.0, uscita il 18 settembre 2026: rifiuta i file non regolari e introduce in GtkSourceFileLoader un limite di dimensione configurabile, di default 1 GiB, valido anche per input da stream e decompressi. Il superamento è segnalato con GTK_SOURCE_FILE_LOADER_ERROR_TOO_BIG.
Le librerie di base: GLib, Glycin, libgsf e GJS
GLib 2.90.1, del 6 ottobre 2026, raccoglie soprattutto correzioni di robustezza: un strncmp() oltre la fine del buffer in giochannel, la gestione di varianti corrotte in gvariant, un underflow in gresource, un overflow nella normalizzazione unicode e uno stack overflow con troppi campi nel logging. Sistema inoltre un difetto di inotify, per cui annullare un monitor tramite un alias di symlink rimuoveva il watch usato da monitor ancora attivi, e g_file_trash(), che con directory non vuote su nodi DT_UNKNOWN restituiva FALSE senza impostare il GError.
Glycin 2.2.3 (15 ottobre 2026) richiede gufo-exif 0.5.3, che risolve problemi di parsing con le voci MakerNote non Canon, le quali potevano impedire la rotazione delle immagini secondo il tag Orientation. Chiude inoltre una perdita di memoria nelle animazioni e canonicalizza i percorsi delle chiavi Exec nelle configurazioni. La 2.2.2 (6 ottobre) aveva reso non bloccante il socket Unix che invia i dati dell’immagine al loader, evitando blocchi infiniti con buffer di invio piccoli.
libgsf 1.14.59 e 1.14.60 correggono casi limite OLE2, la lettura di uno stream zip corrotto, una ricorsione eccessiva nel loader OLE2 e alcune perdite di memoria. GJS 1.90.1 sistema diversi crash legati a toggle reference e garbage collection.
Altri aggiornamenti visibili all’utente
- Epiphany 51.1 corregge anche la posizione del popover dei suggerimenti alla prima apertura e la ricerca nei segnalibri quando è visualizzato un tag.
- Evolution-Data-Server 3.62.1 (9 ottobre 2026) interviene su vari punti di OAuth2 e sulla cache locale CalDAV con i server iCloud, e limita quali file locali vengono incorporati nei componenti del calendario.
- GTK 4.24.1 (1° ottobre 2026) sistema, tra l’altro, la tastiera su schermo nella barra di ricerca, la cancellazione del preedit e i colori dei tag nel testo accessibile.
- GNOME Control Center 51.1 corregge lo slider della dimensione del testo, le opzioni dei modificatori della tastiera, i pulsanti del dialogo APN per le reti mobili e il riconoscimento dei tipi di materiale di consumo delle stampanti.
- GNOME Initial Setup 51.1 porta esplicitamente nella sessione il secret service (
oo7-daemon).
