--- id: "3f5263e6-f2ea-40c5-90fa-dad6c08d773e" kind: "link" title: "Node.js发布安全更新修复十个漏洞，四个为高危" language: "zh-Hans" section: "security" date: "2026-10-21T18:22:21Z" updated: "2026-10-21T19:55:35Z" canonical: "https://tldlog.com/zh/l/node-js-ships-security-updates-fixing-ten-flaws-four-rated/" origin: "automatic" master: "https://tldlog.com/l/node-js-ships-security-updates-fixing-ten-flaws-four-rated/" translations: en: "https://tldlog.com/l/node-js-ships-security-updates-fixing-ten-flaws-four-rated/" es: "https://tldlog.com/es/l/node-js-publica-actualizaciones-seguridad-que-corrigen-diez/" de: "https://tldlog.com/de/l/node-js-veroeffentlicht-sicherheitsupdates-zehn/" fr: "https://tldlog.com/fr/l/node-js-publie-correctifs-securite-corrigeant-dix-failles/" it: "https://tldlog.com/it/l/node-js-rilascia-aggiornamenti-sicurezza-che-correggono/" pt-BR: "https://tldlog.com/pt/l/node-js-lanca-atualizacoes-seguranca-que-corrigem-dez-falhas/" ru: "https://tldlog.com/ru/l/node-js-vypustil-obnovleniya-bezopasnosti-ispravleny-desyat/" source: name: "cybersecuritynews.com" url: "https://cybersecuritynews.com/node-js-releases-security-updates/" language: "en-US" date: "2026-10-21T16:33:58Z" --- # Node.js发布安全更新修复十个漏洞，四个为高危 ## 通俗解读 Node.js是开发者用来运行网站和应用的工具。其维护方发布了更新，修复十个安全漏洞。其中最严重的一个可能让攻击者在计算机上运行有害代码。 Node.js已为其26.x、24.x和22.x分支发布安全更新，以修复十个漏洞。发布说明列出的补丁版本为26.12.1、24.22.1和22.23.4，相关版本定于2026年10月21日发布。其中四个漏洞被评为高危，这是三个分支中的最高评级。 其中后果最严重的可能是通过Brotli解码器实现的远程代码执行，编号为CVE-2026-111497。公告称这是一个越界写入问题，即解码器可能写入其预定内存区域之外的空间。处理不可信Brotli压缩内容的应用在规划补丁时应特别留意。公告未说明被利用所需的确切条件。 另有两个高危问题涉及TLS证书的主机名检查。CVE-2026-105483允许在IP地址使用全角数字时绕过主机名验证，影响26.x和24.x分支。CVE-2026-106069涉及可宽松解析为IP地址的主机名，影响全部三个分支。两者都关系到证书能否与预定目标正确匹配。 第四个高危问题为CVE-2026-105482，会导致dns.resolve截断包含NUL字符的名称。该缺陷影响全部三条发布线，对于在DNS查询前依赖一致名称处理的应用构成隐患。此次修复承接了此前Node.js的TLS认证绕过补丁。 另外三个中危问题也已修复。CVE-2026-105481使keep-alive套接字可处理在请求发出之前写入的响应。CVE-2026-106072涉及非标准IPv4主机名的证书验证不当。CVE-2026-106074影响启动快照和单一可执行应用中的缓存随机数据，可能导致crypto.randomUUID()和crypto.randomInt()返回重复值。 其余问题评级较低。CVE-2026-106070涉及在ZIP头部检查失败后返回的、可由攻击者控制的字节；CVE-2026-106071可能通过通配符匹配授予过度的文件系统访问权限，两者均影响26.x。CVE-2026-106073通过fs.realpathSync绕过Permission Model检查，影响全部三个分支。 项目建议管理员部署对应的补丁版本，在需要时重建应用镜像，并重启受影响的服务。项目警告称，已停止维护的分支即使在安全发布后仍受影响，因此迁移到受支持的分支是修复工作的一部分。 来源： [cybersecuritynews.com](https://cybersecuritynews.com/node-js-releases-security-updates/) ## 其他来源 - [elhacker.NET](https://blog.elhacker.net/2026/10/nodejs-lanza-actualizaciones-de.html) (西班牙语报道)