Node.js发布安全更新修复十个漏洞，四个为高危

Node.js已为其26.x、24.x和22.x分支发布安全更新，以修复十个漏洞。发布说明列出的补丁版本为26.12.1、24.22.1和22.23.4，相关版本定于2026年10月21日发布。其中四个漏洞被评为高危，这是三个分支中的最高评级。

其中后果最严重的可能是通过Brotli解码器实现的远程代码执行，编号为CVE-2026-111497。公告称这是一个越界写入问题，即解码器可能写入其预定内存区域之外的空间。处理不可信Brotli压缩内容的应用在规划补丁时应特别留意。公告未说明被利用所需的确切条件。

另有两个高危问题涉及TLS 词汇表术语TLS 传输层安全协议 对浏览器或应用与服务器之间的连接进行加密的标准。 完整定义（TLS）证书的主机名检查。CVE-2026-105483允许在IP 词汇表术语IP 互联网协议 互联网发送数据的基本规则，为每台联网设备分配数字地址。 完整定义（IP）地址使用全角数字时绕过主机名验证，影响26.x和24.x分支。CVE-2026-106069涉及可宽松解析为IP地址的主机名，影响全部三个分支。两者都关系到证书能否与预定目标正确匹配。

第四个高危问题为CVE-2026-105482，会导致dns.resolve截断包含NUL字符的名称。该缺陷影响全部三条发布线，对于在DNS 词汇表术语DNS 域名系统 将域名与计算机地址关联起来的互联网目录。 完整定义（DNS）查询前依赖一致名称处理的应用构成隐患。此次修复承接了此前Node.js的TLS认证绕过补丁。

另外三个中危问题也已修复。CVE-2026-105481使keep-alive套接字可处理在请求发出之前写入的响应。CVE-2026-106072涉及非标准IPv4主机名的证书验证不当。CVE-2026-106074影响启动快照和单一可执行应用中的缓存随机数据，可能导致crypto.randomUUID()和crypto.randomInt()返回重复值。

其余问题评级较低。CVE-2026-106070涉及在ZIP头部检查失败后返回的、可由攻击者控制的字节；CVE-2026-106071可能通过通配符匹配授予过度的文件系统访问权限，两者均影响26.x。CVE-2026-106073通过fs.realpathSync绕过Permission Model检查，影响全部三个分支。

项目建议管理员部署对应的补丁版本，在需要时重建应用镜像，并重启受影响的服务。项目警告称，已停止维护的分支即使在安全发布后仍受影响，因此迁移到受支持的分支是修复工作的一部分。