Разработчики Node.js выпустили 21 октября исправление CVE-2026-111497. Ошибка находится в декодере формата сжатия Brotli. Специально подготовленный сжатый поток может повредить память процесса: последствия варьируются от аварийного завершения до раскрытия данных из памяти и выполнения чужого кода.
Риск возникает, когда приложение распаковывает полученные от атакующего данные Brotli через модуль node:zlib. Поэтому разработчикам стоит проверить именно места, где сервис принимает и декодирует такие данные, а также версию Node.js в используемых образах и окружениях.
Исправления доступны для веток 26.x, 24.x и 22.x: версии 26.12.1, 24.22.1 и 22.23.4 соответственно. Этот же выпуск закрывает и другие ошибки безопасности, в том числе в работе DNS и TLS. Для обновления следует выбрать исправленную версию своей поддерживаемой ветки.
#TECH #SECURITY
@digitaltimeslv
Официальный логотип Node.js.
Изображение: Node.js® / OpenJS Foundation.
Original in Telegram: https://t.me/digitaltimeslv/11108