В декодере Brotli в Node.js была обнаружена критическая уязвимость (CVE-2026-111497), которая может привести к повреждению памяти, раскрытию информации или удаленному выполнению кода. Эта ошибка затрагивает версии Node.js 22, 24 и 26, хотя Node 20 не получит исправления. Проблема возникает из-за того, что декодер пытается добавить данные за пределы внутреннего восьмибайтного буфера при обнаружении недопустимого переключения блока. Исследователи из OpenAI Codex Security сообщили об этой уязвимости, а Imperva успешно продемонстрировала выполнение кода на стандартном образе Node.js.Уязвимость может быть вызвана как сжатыми ответами, полученными приложениями Node.js, так и телами запросов, закодированными в Brotli и обрабатываемыми фреймворками, такими как Express 5. Хотя выполнение кода потребовало нескольких попыток при тестировании, сбой, приводящий к отказу в обслуживании или ограниченному чтению памяти, достигается легче. Официальная консультация по безопасности Node.js оценивает ошибку как "высокую", а не "критическую", несмотря на то, что некоторые источники присвоили ей более высокий балл CVSS.Исправления доступны в версиях Node.js 22.23.4, 24.22.1 и 26.12.1. Важно отметить, что Node 20 и более старые версии находятся на этапе окончания жизненного цикла и не будут получать исправления, что требует обновления. Обновление также устраняет девять других CVE, включая проблемы TLS и DNS высокой степени серьезности.Организациям настоятельно рекомендуется проверить все экземпляры Node.js, включая те, что встроены в образы контейнеров, CI-раннеры и виртуальные машины, поскольку они часто упускаются из виду. Предоставленный скрипт check-node.mjs может помочь выявить уязвимые версии Node.js. Разработчикам также следует проверить свой код на наличие прямых вызовов декомпрессии Brotli.Хотя WAF, такие как Vercel, могут блокировать входящие атаки, они не защищают от вредоносного Brotli в ответах, полученных Node.js, что подчеркивает постоянную необходимость установки исправлений. Эта уязвимость подчеркивает важность полного понимания развернутых сред выполнения, тема, рассмотренная в книге автора "Ship It". Автор также разрабатывает Hermes IDE, IDE на базе искусственного интеллекта для разработчиков.