Node.js 的 Brotli 解码器可被恶意数据触发远程代码执行，24.22.1 已修复
漏洞编号 CVE-2026-111497，Node.js 在 10 月 21 日披露并发布修复。研究人员在官方 24.22.0 的 Linux arm64 镜像上演示了执行攻击者提供的代码。
要点
- 问题出在 Node.js 捆绑的 Brotli 解码器，涉及 22.x、24.x、26.x 三条线，不止被演示的那一个构建
- 两条触发路径：内置 fetch() 读取 Brotli 压缩的响应，或中间件解码 Brotli 压缩的请求体
- Express 5 的 express.json()、urlencoded()、text()、raw() 挂到路由后会解码 Brotli 请求体；纯 Node.js HTTP 服务不会自动解码请求体
- 修复版 24.22.1 上同样的数据会被直接拒绝；20.x 及更早的 EOL 线拿不到修复，Node.js 内也没有 workaround
- 截至 10 月 22 日没有在野利用报告。除了升级，还要检查容器镜像里自带的那份 Node
阅读原文这里是中文要点整理，数字与细节以原文为准。
评论
还没有评论，来写第一条。