Node.js выпустил обновления безопасности: исправлены десять уязвимостей, четыре из них высокой опасности
простыми словами
Node.js — это инструмент, которым разработчики запускают сайты и приложения. Его создатели выпустили обновления, которые закрывают десять дыр в безопасности. Самая серьезная из них может позволить злоумышленнику запустить вредоносный код на компьютере.
Подробное изложение
Node.js выпустил обновления безопасности для веток 26.x, 24.x и 22.x, чтобы закрыть десять уязвимостей. В описании релиза исправленными названы версии 26.12.1, 24.22.1 и 22.23.4, а сами выпуски были запланированы на 21 октября 2026 года. Четыре из уязвимостей имеют высокий уровень опасности, что является наивысшей оценкой для всех трех веток.
Наиболее серьезным возможным последствием является удаленное выполнение кода через декодер Brotli, который отслеживается под идентификатором CVE-2026-111497. В рекомендации описана запись за пределами выделенной области памяти, то есть декодер может записать данные вне своей области. Приложениям, которые обрабатывают ненадежное содержимое, сжатое Brotli, при планировании установки исправлений следует уделить особое внимание. В уведомлении не объясняется, какие точно условия нужны для эксплуатации.
Две уязвимости высокой опасности связаны с проверкой имени хоста в сертификатах TLS Transport Layer Security Стандарт, который шифрует соединения между браузером или приложением и сервером. Полное определение термина TLS. CVE-2026-105483 позволяет обойти проверку имени хоста, когда IP межсетевой протокол Базовые правила передачи данных в интернете с числовым адресом для каждого подключенного устройства. Полное определение термина IP записан полноширинными цифрами; затрагивает ветки 26.x и 24.x. CVE-2026-106069 связана с именами хостов, которые свободно разрешаются в IP-адрес, и затрагивает все три ветки. Обе проблемы касаются того, правильно ли сертификат соответствует предполагаемому адресату.
Четвертая уязвимость высокой опасности, CVE-2026-105482, приводит к тому, что dns.resolve обрезает имена, содержащие символ NUL. Ошибка затрагивает все три линейки выпусков и вызывает вопросы у приложений, которые полагаются на единообразную обработку имен перед запросами DNS система доменных имен Справочник интернета, который связывает доменные имена с адресами компьютеров. Полное определение термина DNS. Исправления идут следом за более ранними патчами Node.js, которые закрывали обход аутентификации TLS.
Также исправлены три уязвимости средней опасности. CVE-2026-105481 позволяет сокету keep-alive обработать ответ, записанный до отправки его запроса. CVE-2026-106072 связана с некорректной проверкой сертификатов для нестандартных имен хостов IPv4. CVE-2026-106074 затрагивает кэшированные случайные данные в снимках запуска и однофайловых исполняемых приложениях, из-за чего могут повторяться значения, возвращаемые crypto.randomUUID() и crypto.randomInt().
Остальные проблемы имеют низкую оценку. CVE-2026-106070 связана с байтами, которые контролирует злоумышленник и которые возвращаются после неудачных проверок заголовка ZIP; CVE-2026-106071 может открыть избыточный доступ к файловой системе через сопоставление по шаблону. Обе затрагивают 26.x. CVE-2026-106073 обходит проверки модели разрешений через fs.realpathSync во всех трех ветках.
Проект советует администраторам установить соответствующий исправленный выпуск, при необходимости пересобрать образы приложений и перезапустить затронутые сервисы. Он предупреждает, что ветки, срок поддержки которых истек, остаются уязвимыми даже после выпусков с исправлениями, поэтому переход на поддерживаемую ветку входит в устранение проблемы.