Node.js publica actualizaciones de seguridad que corrigen diez fallos, cuatro de gravedad alta
en claro
Node.js es una herramienta que los desarrolladores usan para ejecutar sitios web y aplicaciones. Sus responsables han publicado actualizaciones que corrigen diez fallos de seguridad. El más grave podría permitir a un atacante ejecutar código dañino en un ordenador.
Resumen completo
Node.js ha publicado actualizaciones de seguridad para sus ramas 26.x, 24.x y 22.x con el fin de cerrar diez vulnerabilidades. Los detalles de la publicación citan 26.12.1, 24.22.1 y 22.23.4 como versiones corregidas, y las publicaciones estaban programadas para el 21 de octubre de 2026. Cuatro de los fallos tienen una gravedad alta, la calificación más elevada en las tres ramas.
El resultado potencial más grave es la ejecución remota de código a través del decodificador Brotli, identificado como CVE-2026-111497. El aviso describe una escritura fuera de límites, lo que significa que el decodificador puede escribir fuera de su área de memoria prevista. Las aplicaciones que procesan contenido Brotli comprimido no fiable deberían prestar especial atención durante la planificación de los parches. El aviso no explica las condiciones exactas necesarias para la explotación.
Dos incidencias de gravedad alta afectan a las comprobaciones del nombre de host en certificados TLS Transport Layer Security Estándar que cifra las conexiones entre un navegador o una aplicación y un servidor. Definición completa de TLS. CVE-2026-105483 permite eludir la verificación del nombre de host cuando una dirección IP protocolo de Internet Reglas básicas de Internet para enviar datos, con direcciones numéricas para cada dispositivo conectado. Definición completa de IP utiliza dígitos de ancho completo, y afecta a las ramas 26.x y 24.x. CVE-2026-106069 involucra nombres de host que se resuelven de forma laxa a una dirección IP y afecta a las tres ramas. Ambas se refieren a si un certificado coincide correctamente con el destino previsto.
La cuarta incidencia de gravedad alta, CVE-2026-105482, hace que dns.resolve trunque los nombres que contienen un carácter NUL. El fallo afecta a las tres líneas de publicación y genera preocupación en las aplicaciones que dependen de un manejo coherente de los nombres antes de las búsquedas DNS sistema de nombres de dominio Directorio de Internet que vincula los nombres de dominio con las direcciones de los ordenadores. Definición completa de DNS. Las correcciones siguen a parches anteriores de elusión de la autenticación TLS en Node.js.
También se corrigieron tres incidencias de gravedad media. CVE-2026-105481 permite que un socket keep-alive procese una respuesta escrita antes de que se enviara su solicitud. CVE-2026-106072 se refiere a una validación inadecuada de certificados para nombres de host IPv4 no estándar. CVE-2026-106074 afecta a datos aleatorios almacenados en caché en las instantáneas de arranque y en las aplicaciones de ejecutable único, que pueden repetir valores devueltos por crypto.randomUUID() y crypto.randomInt().
El resto de incidencias tienen calificaciones bajas. CVE-2026-106070 se refiere a bytes controlados por el atacante devueltos tras fallar las comprobaciones de cabecera ZIP, y CVE-2026-106071 puede conceder un acceso excesivo al sistema de archivos mediante coincidencia con comodines; ambas afectan a la 26.x. CVE-2026-106073 elude las comprobaciones del Permission Model a través de fs.realpathSync en las tres ramas.
El proyecto aconseja a los administradores que desplieguen la versión corregida correspondiente, que reconstruyan las imágenes de las aplicaciones cuando sea necesario y que reinicien los servicios afectados. Advierte de que las ramas al final de su vida útil siguen afectadas incluso después de las publicaciones de seguridad, por lo que migrar a una rama compatible forma parte de la solución.