Node.js lança atualizações de segurança que corrigem dez falhas, quatro com gravidade alta
em linguagem simples
O Node.js é uma ferramenta que desenvolvedores usam para rodar sites e aplicativos. Seus responsáveis lançaram atualizações que corrigem dez falhas de segurança. A mais grave pode permitir que um invasor execute código prejudicial em um computador.
Resumo completo
O Node.js lançou atualizações de segurança para seus ramos 26.x, 24.x e 22.x para fechar dez vulnerabilidades. Os detalhes da versão indicam 26.12.1, 24.22.1 e 22.23.4 como as versões corrigidas, e os lançamentos estavam programados para 21 de outubro de 2026. Quatro das falhas têm gravidade classificada como alta, a classificação mais elevada nos três ramos.
O desfecho potencial mais grave é a execução remota de código pelo decodificador Brotli, registrada como CVE-2026-111497. O aviso descreve uma escrita fora dos limites, o que significa que o decodificador pode escrever fora da área de memória prevista. Aplicações que processam conteúdo comprimido com Brotli sem confiança devem receber atenção especial no planejamento das correções. O comunicado não explica as condições exatas necessárias para a exploração.
Dois problemas de gravidade alta envolvem verificações de nome de host em certificados TLS Transport Layer Security Padrão que criptografa as conexões entre um navegador ou aplicativo e um servidor. Definição completa de TLS. O CVE-2026-105483 permite contornar a verificação de nome de host quando um endereço IP protocolo de internet Regras básicas da internet para enviar dados, com endereços numéricos para cada dispositivo conectado. Definição completa de IP usa dígitos de largura total, afetando os ramos 26.x e 24.x. O CVE-2026-106069 envolve nomes de host que se resolvem de forma frouxa para um endereço IP e afeta os três ramos. Ambos dizem respeito a se um certificado corresponde corretamente ao destino pretendido.
O quarto problema de gravidade alta, CVE-2026-105482, faz com que dns.resolve trunque nomes que contêm um caractere NUL. A falha afeta as três linhas de lançamento e levanta preocupações para aplicações que dependem de um tratamento consistente de nomes antes das consultas DNS sistema de nomes de domínio O diretório da internet que liga os nomes de domínio aos endereços dos computadores. Definição completa de DNS. As correções seguem correções anteriores de contorno da autenticação TLS no Node.js.
Também foram corrigidos três problemas de gravidade média. O CVE-2026-105481 permite que um socket keep-alive processe uma resposta escrita antes de sua requisição ser enviada. O CVE-2026-106072 diz respeito à validação imprópria de certificados para nomes de host IPv4 não padronizados. O CVE-2026-106074 afeta dados aleatórios armazenados em cache em snapshots de inicialização e em aplicações de executável único, que podem repetir valores retornados por crypto.randomUUID() e crypto.randomInt().
Os demais problemas têm classificação baixa. O CVE-2026-106070 diz respeito a bytes controlados por um atacante retornados após falhas nas verificações de cabeçalho ZIP, e o CVE-2026-106071 pode conceder acesso excessivo ao sistema de arquivos por meio de correspondência com curingas; ambos afetam o 26.x. O CVE-2026-106073 contorna as verificações do Permission Model por meio de fs.realpathSync nos três ramos.
O projeto orienta os administradores a implantar a versão corrigida correspondente, reconstruir imagens de aplicações quando necessário e reiniciar os serviços afetados. Ele alerta que ramos em fim de vida continuam afetados mesmo após as versões de segurança, por isso migrar para um ramo com suporte faz parte da correção.