Nodejs Brotli decoder 代码执行漏洞 (CVE-2026-111497)10629

阿里云安全

2026年10月22日 12:02
浙江

去阅读

Node.js是一个开源、跨平台的JavaScript运行时环境。2026年10月21日，官方发布安全更新，修复多个高危漏洞，其中包括CVE-2026-111497 Brotli解码器越界写导致远程代码执行。

漏洞详情

经初步分析，Node.js中内置了Brotli解码器。在CVE-2026-111497中，由于处理不当，导致畸形Brotli数据可在解码过程中触发越界写，进而导致进程内存泄露或甚至代码执行。

经初步分析，默认情况下Node.js不会直接进行Brotli解码，需要应用或依赖实际执行Brotli解压，例如代码中显式调用使用zlib.brotliDecompress()等接口解压数据。目前未见公开利用代码与在野利用报告。

漏洞评级

CVE-2026-111497 Nodejs Brotli decoder代码执行漏洞高危

影响范围

Node.js 22.x < 22.23.4

Node.js 24.x < 24.22.1

Node.js 26.x < 26.12.1

修复方案

针对Node.js 22.x、24.x、26.x 分支：官方已发布安全更新，具体如下：

Node.js 22.x 分支，升级至 22.23.4 或该分支更新版本。

Node.js 24.x 分支，升级至 24.22.1 或该分支更新版本。

Node.js 26.x 分支，升级至 26.12.1 或该分支更新版本。

升级后请重启相关Node.js进程；使用容器或自带Node.js运行时的应用，还需更新镜像或应用内置运行时并重新部署，确保实际运行版本升级至最新安全版本或已包含相关安全更新。

参考链接

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases