Defectul din decodorul Brotli poate duce la coruperea memoriei. Actualizează Node.js și inventariază unde aplicația acceptă date comprimate.
Printre remedierile Node.js din 21 octombrie 2026, CVE-2026-111497 privește decodorul Brotli inclus în runtime. Un flux comprimat malițios poate scrie în afara bufferului intern. HKCERT a notat ulterior disponibilitatea unui proof-of-concept public, ceea ce crește urgența actualizării pe serverele expuse.
Versiuni remediate
Actualizează la 22.23.4, 24.22.1 sau 26.12.1, după ramura folosită.
node --version
command -v node
node -p "process.execPath"Verifică executabilul proceselor active și al containerelor, nu doar instalarea din PATH-ul administratorului.
Unde contează în aplicație
Riscul crește când aplicația decomprimă date controlate de un client prin node:zlib sau biblioteci care folosesc același decodor. Nu orice API Node.js este afectat în același fel; inventariază rutele de upload, proxy și procesare de arhive.
Pași operaționali
- Actualizează runtime-ul prin același canal folosit la instalare.
- Reconstruiește imaginile Docker care fixează o versiune veche.
- Repornește serviciile systemd, PM2 sau platforma de orchestrare.
- Confirmă versiunea din procesul nou.
Pentru VPS-uri administrate prin XSERVERE, include Node.js în lista de componente verificate după fiecare rundă de securitate a proiectului.
Ți-a fost util acest articol?