【漏洞通告】Node.js 多个安全漏洞(CVE-2026-105482 / CVE-2026-111497)

深瞳漏洞实验室
深瞳漏洞实验室

深信服千里目安全技术中心

2026年10月23日 17:48
北京

去阅读

漏洞名称：

Node.js 空字节域名截断导致的白名单绕过漏洞(CVE-2026-105482)

Node.js Brotli 解码器代码执行漏洞(CVE-2026-111497)

组件名称：

Node.js

影响范围：

22.x < Node.js < 22.23.4
24.x < Node.js < 24.22.1
26.x < Node.js < 26.12.1

漏洞类型：

防御绕过

代码执行

利用条件：

1、用户认证：无需用户认证

2、前置条件：

CVE-2026-105482：应用调用了 dns.resolve\* 系列函数

CVE-2026-111497：需要应用或依赖执行Brotli解压

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易，无需授权即可绕过白名单防护或代码执行。

<综合评定威胁等级>：高危，可绕过基于字符串匹配的域名白名单或远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

Node.js发布于2009年5月，由Ryan Dahl开发，是一个基于Chrome V8引擎的JavaScript运行环境，使用了一个事件驱动、非阻塞式I/O模型，让JavaScript 运行在服务端的开发平台，它让JavaScript成为与PHP、Python、Perl、Ruby等服务端语言平起平坐的脚本语言。

漏洞简介

2026年10月23日，深瞳漏洞实验室监测到Node.js组件存在防御绕过和代码执行漏洞的信息，漏洞编号：CVE-2026-105482、CVE-2026-111497，漏洞威胁等级：高危。

CVE-2026-105482 是 Node.js dns.resolve\ 系列函数中的一个白名单绕过漏洞。当域名中包含空字节（NUL，\0）时，底层 DNS 解析库会在空字节处静默截断，导致应用层安全检查所看到的字符串与实际被解析的域名不一致，从而可能被利用来绕过基于字符串匹配的域名白名单。*

CVE-2026-111497 是 Node.js Brotli 解码器中的一个代码执行漏洞，源于 Brotli 解码器处理畸形压缩数据时存在缺陷。具体来说，当解码器遇到无效的“块切换”（block switch）指令时，本应报错并中止，但存在缺陷的代码路径未能正确处理该错误，导致解码器带着过期的内部状态继续运行，最终在特定条件下引发越界写入，破坏内存。

影响范围

目前受影响的Node.js版本：

22.x < Node.js < 22.23.4
24.x < Node.js < 24.22.1
26.x < Node.js < 26.12.1

解决方案

官方修复建议

官方已发布最新版本修复该漏洞，建议受影响用户更新到最新版本。
参考链接：https://nodejs.org/zh-cn/blog/vulnerability/october-2026-security-releases

临时修复建议

• 关闭未使用的功能模块，减少潜在攻击入口。

• 遵循最小权限原则，严控各类敏感操作权限范围。

• 非必要不暴露服务到公网，限制访问源为可信范围。

• 定期更新系统及各类组件至安全版本，及时修补已知隐患。

深信服解决方案

1、风险资产发现

支持对Node.js的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：

【深信服云镜YJ】 已发布资产检测方案，指纹ID:0014288。

【深信服漏洞评估工具TSS】已发布资产检测方案，指纹ID:0014288。

2、漏洞主动检测

支持对Node.js 空字节域名截断导致的白名单绕过漏洞(CVE-2026-105482)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：

【深信服云镜YJ】预计2026年10月30日发布检测方案，规则ID:SF-2026-13325。

【深信服可拓展检测响应平台XDR】预计2026年10月30日发布检测方案（需要具备云镜组件能力），规则ID:SF-2026-13325。

参考链接

https://nodejs.org/zh-cn/blog/vulnerability/october-2026-security-releases

时间轴

2026/10/23

深瞳漏洞实验室监测到Node.js 空字节域名截断导致的白名单绕过和Brotli 解码器代码执行漏洞信息。

2026/10/23

深瞳漏洞实验室发布漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。