Безопасность 22 октября 2026, 09:27 МСК

Node.js закрыл 10 уязвимостей, включая возможное удалённое выполнение кода в Brotli

Команда Node.js 21 октября выпустила обновления безопасности для веток 22.x, 24.x и 26.x, исправив десять уязвимостей, четыре из них — высокой опасности.

Самая серьёзная проблема (CVE-2026-111497) — запись за пределами выделенной памяти в декодере Brotli, которая при определённых условиях может привести к удалённому выполнению кода. Она затрагивает все три поддерживаемые ветки.

Ещё две ошибки высокого уровня связаны с проверкой имени узла в TLS-сертификатах при нестандартной записи IP-адресов (CVE-2026-105483 и CVE-2026-106069). Четвёртая — некорректная обработка DNS-имён с нулевым байтом в dns.resolve() (CVE-2026-105482). Кроме того, исправлены три проблемы среднего и три низкого уровня, обновлены зависимости c-ares, Undici, а для отдельных веток OpenSSL и SQLite. В релизы вошли и изменения сертификатов доверенных центров из-за компрометации промежуточного центра eMudhra.

Исправления вошли в версии 22.23.4 (LTS), 24.22.1 (LTS) и 26.12.1 (Current). Разработчикам советуют проверить версию командой node -v и убедиться, что обновлены также Docker-образы и сборки CI/CD. Версии с истёкшим сроком поддержки исправлений не получают.

• Исправлены 10 уязвимостей, 4 из них — высокого уровня
• Версии: 22.23.4, 24.22.1 и 26.12.1
• Брешь в Brotli: CVE-2026-111497