#Node.js

aikido.dev · ⭐️ 8/10 · 2026-10-26

8/10

Brotli 解码器漏洞 CVE-2026-111497 影响 1.0.3 至 1.2.0 版本，并波及 Python 与 Node.js 的 HTTP 组件，CVSS 4.0 评分为 9.2。远程未认证攻击者可发送特制压缩流，造成内存损坏、敏感数据泄露、进程崩溃，并可能执行任意代码。Python 的 Brotli 需升级至 1.2.1、brotlicffi 至 1.2.1.0；Node.js 的修复版本为 22.23.4、24.22.1 或 26.12.1。该漏洞最初以 Node2Shell 披露，后称 HTTP2Shell；OpenAI 表示于今年 2 月发现该问题。

#Brotli #CVE-2026-111497 #security vulnerability #Node.js #Python

Node.js 修复 Brotli 越界写入等 10 个漏洞

nodejs.org · ⭐️ 8/10 · 2026-10-22

8/10

Node.js 项目为 26.x、24.x 和 22.x 分支发布安全更新，共修复 10 个漏洞，最高严重级别为高危（High）。其中，Brotli 解码器越界写入（CVE-2026-111497）被描述为可导致远程代码执行；另一个已报告的问题是 TLS 非规范 IP 地址处理（CVE-2026-106069、CVE-2026-106072）。此次更新还修复了 DNS 解析空字节验证（CVE-2026-105482）、TLS IP 规范化回归（CVE-2026-105483），以及 HTTP 代理、加密快照、zlib 和权限等中低严重性问题。项目建议使用最新版本，并指出已终止支持（EOL）的版本同样受这些漏洞影响。

#Node.js #security vulnerabilities #CVE #remote code execution #open source

Node.js 修复 Brotli 远程代码执行漏洞，musl libc 公布越界写问题

lwn.net · ⭐️ 7/10 · 2026-10-22

7/10

Node.js 项目发布了多项安全更新，修复了多个漏洞，其中包括一个影响使用 Brotli 压缩的程序的远程代码执行漏洞。musl libc 项目同时公布了一个越界写漏洞，该漏洞可能被用于远程代码执行，但报道明确指出这一点尚未得到演示。该消息本身是一篇简讯，链接到相关公告，未给出受影响的具体版本号或修复版本。

#security vulnerabilities #Node.js #musl libc #remote code execution #vulnerability disclosure