Node.js rilascia aggiornamenti di sicurezza che correggono dieci falle, quattro a gravità alta
in parole semplici
Node.js è uno strumento che gli sviluppatori usano per far funzionare siti e app. I suoi responsabili hanno rilasciato aggiornamenti che correggono dieci falle di sicurezza. La più grave potrebbe permettere a un malintenzionato di eseguire codice dannoso su un computer.
Sintesi completa
Node.js ha rilasciato aggiornamenti di sicurezza per i suoi rami 26.x, 24.x e 22.x per chiudere dieci vulnerabilità. I dettagli del rilascio indicano 26.12.1, 24.22.1 e 22.23.4 come versioni corrette, e le release erano previste per il 21 ottobre 2026. Quattro delle falle sono classificate di gravità alta, il livello più alto in tutti e tre i rami.
L'esito potenziale più grave è l'esecuzione remota di codice tramite il decodificatore Brotli, tracciata come CVE-2026-111497. L'avviso descrive una scrittura fuori dai limiti, cioè il decodificatore può scrivere al di fuori della propria area di memoria prevista. Le applicazioni che elaborano contenuti compressi con Brotli non attendibili dovrebbero prestare particolare attenzione durante la pianificazione delle patch. L'avviso non spiega le condizioni esatte necessarie per lo sfruttamento.
Due problemi di gravità alta riguardano i controlli sul nome host dei certificati TLS Transport Layer Security Lo standard che cifra le connessioni tra un browser o un'app e un server. Definizione completa del termine TLS. CVE-2026-105483 consente di aggirare la verifica del nome host quando un indirizzo IP protocollo internet Le regole di base di internet per inviare dati, con indirizzi numerici per ogni dispositivo connesso. Definizione completa del termine IP usa cifre a larghezza piena, e interessa i rami 26.x e 24.x. CVE-2026-106069 riguarda nomi host che si risolvono in modo impreciso in un indirizzo IP e interessa tutti e tre i rami. Entrambi riguardano la corretta corrispondenza del certificato con la destinazione prevista.
La quarta falla di gravità alta, CVE-2026-105482, fa sì che dns.resolve tronchi i nomi che contengono un carattere NUL. La falla interessa tutte e tre le linee di rilascio e solleva preoccupazioni per le applicazioni che dipendono da una gestione coerente dei nomi prima delle ricerche DNS sistema dei nomi a dominio L'elenco di internet che collega i nomi a dominio agli indirizzi dei computer. Definizione completa del termine DNS. Le correzioni seguono precedenti patch Node.js per il bypass dell'autenticazione TLS.
Sono stati corretti anche tre problemi di gravità media. CVE-2026-105481 consente a un socket keep-alive di elaborare una risposta scritta prima che la richiesta fosse inviata. CVE-2026-106072 riguarda una convalida impropria dei certificati per nomi host IPv4 non standard. CVE-2026-106074 interessa dati casuali memorizzati nella cache negli snapshot di avvio e nelle applicazioni eseguibili singole, che possono ripetere i valori restituiti da crypto.randomUUID() e crypto.randomInt().
Le restanti questioni hanno valutazioni basse. CVE-2026-106070 riguarda byte controllati dall'attaccante restituiti dopo controlli dell'intestazione ZIP non riusciti, mentre CVE-2026-106071 può concedere un accesso eccessivo al filesystem tramite la corrispondenza con caratteri jolly; entrambe interessano il ramo 26.x. CVE-2026-106073 aggira i controlli del Permission Model tramite fs.realpathSync in tutti e tre i rami.
Il progetto consiglia agli amministratori di installare la release corretta corrispondente, ricostruire le immagini delle applicazioni dove necessario e riavviare i servizi interessato La persona i cui dati personali vengono trattati, di solito l'assegnatario nella scheda di un dominio. Definizione completa del termine interessato. Avverte che i rami fuori supporto restano vulnerabili anche dopo i rilasci di sicurezza, quindi passare a un ramo supportato fa parte della risoluzione.