Node.js usunął dziesięć podatności, w tym błąd w dekoderze Brotli pozwalający na zdalne wykonanie kodu

Rodzaj: Streszczenie
Data: 22.10.2026
Kategoria: Aktualności
Redakcja: Paweł Rosół
Źródło: Node.js (21 października 2026)

Projekt Node.js wydał 21 października 2026 r. wersje 26.12.1, 24.22.1 i 22.23.4. Cztery z usuniętych podatności mają ocenę wysoką, a trzy z nich dotyczą rozwiązywania nazw i weryfikacji certyfikatów TLS.

Projekt Node.js wydał 21 października 2026 r. poprawki bezpieczeństwa dla trzech wspieranych linii środowiska: 26.12.1, 24.22.1 i 22.23.4. Usuwają one dziesięć podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV., z których cztery projekt ocenia jako wysokie, trzy jako średnie i trzy jako niskie. Najpoważniejsza, CVE-2026-111497, to zapis poza granicami bufora w dekoderze Brotli. Według komunikatu pozwala on na zdalne wykonanie koduZdalne wykonanie kodu Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia. i występuje we wszystkich trzech liniach.

Pozostałe wysokie podatności dotyczą rozwiązywania nazw i weryfikacji certyfikatów. Funkcja dns.resolve obcina nazwy zawierające znak NUL (CVE-2026-105482). Dwa błędy pozwalają ominąć sprawdzenie nazwy hosta w certyfikacie TLS: gdy adres IP zapisano cyframi o pełnej szerokości (CVE-2026-105483, linie 26.x i 24.x) oraz gdy nazwę hosta da się w luźny sposób odczytać jako adres IP (CVE-2026-106069, wszystkie linie). Wśród średnich jest CVE-2026-106074: crypto.randomUUID() i randomInt() zapisują bufor entropii w migawkach startowych i aplikacjach SEA, więc każdy uruchomiony z nich proces powtarza te same wartości. Dwie kolejne średnie to gniazdo keep-alive, które przetwarza odpowiedź zapisaną przed wysłaniem żądania (CVE-2026-105481), i nazwy DNS w certyfikacie, które uwierzytelniają adres IPv4 zapisany w niekanonicznej postaci (CVE-2026-106072).

Trzy niskie podatności dotyczą modelu uprawnień i odczytu plików ZIP. Komunikat przypisuje CVE-2026-106071 do linii 26.x, ale notatki do wydania 26.12.1 tego numeru nie wymieniają. Wydania podnoszą też zależności: c-ares do wersji 1.34.9 we wszystkich liniach, OpenSSL do 3.5.9 w liniach 24.x i 22.x, SQLite do 3.53.4 w linii 22.x oraz Undici. Komunikat wymienia ponadto zmianę certyfikatów urzędów certyfikacji w związku z kompromitacją pośredniego urzędu eMudhra, a notatki do wydań podają aktualizację certyfikatów głównych do NSS 3.131.1.

Jeśli w podmiocie działają aplikacje na Node.js, sprawdź wersję środowiska na serwerach i w obrazach kontenerów. Komunikat zaznacza, że wersje po zakończeniu wsparcia są zawsze podatne, gdy wychodzi wydanie bezpieczeństwa, i odsyła do harmonogramu wydań projektu. Nie podaje ocen CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. ani informacji o wykorzystaniu tych podatności w atakach.

Źródła

Pojęcia w tym tekście (3)

Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Zdalne wykonanie kodu: Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia.
CVSS: Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 22 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.