Node.js пусна обновления за сигурност за своите клонове 26.x, 24.x и 22.x, за да отстрани десет уязвимости, включително четири с висока степен на опасност, засягащи търсенето в DNS, проверките на TLS сертификати и декомпресирането с Brotli.
Предоставените подробности за версията посочват 26.12.1, 24.22.1 и 22.23.4 като коригираните версии. Най-сериозният потенциален резултат е дистанционно изпълнение на код чрез декодера Brotli.
Октомврийското обновяване на сигурността обхваща също обработката на HTTP връзки, повторно генерирани произволни стойности, обработката на ZIP файлове и проверките на правата във файловата система. Node.js насрочи изданията за 21 октомври 2026 г. и посочи висока степен на опасност като най-висок риск за трите поддържани клона.
CVE-2026-111497 засяга декодера Brotli във всички три линии на версията. Предоставеният бюлетин описва запис извън границите на буфера, който позволява дистанционно изпълнение на код.
Това означава, че декодерът може да записва извън предвидената за него област от паметта. Приложенията, които обработват компресирано с Brotli съдържание от ненадеждни източници, трябва да получат специално внимание при планирането на инсталирането на корекциите за сигурност. Предоставеното съобщение обаче не обяснява точните условия, необходими за експлоатация.
Две уязвимости с висока степен на опасност са свързани с проверките на името на хоста в TLS сертификатите. CVE-2026-105483 позволява заобикаляне на проверката на името на хоста, когато даден IP адрес използва цифри с пълна ширина, засягайки Node.js 26.x и 24.x.
Node.js пуска обновления за сигурност
CVE-2026-106069 засяга имена на хостове, които се разрешават неточно до IP адрес, и влияе на трите клона. И двете уязвимости са свързани с това дали даден сертификат съответства правилно на желаната дестинация.
Четвъртият проблем с висока степен на опасност, CVE-2026-105482, води до това, че dns.resolve отрязва имена, съдържащи NUL знак. Той засяга и трите поддържани линии. Недостатъкът поражда опасения за приложения, които разчитат на последователна обработка на имената преди извършване на DNS справки.
Тези корекции следват предишни корекции за сигурност при заобикаляне на TLS автентикацията в Node.js, които също бяха насочени към разликите в обработката на имената на хостовете и проверката на сертификатите.
Три проблема със средна степен на опасност разширяват обхвата на актуализацията. CVE-2026-105481 позволява на keep-alive сокет да обработи отговор, записан преди изпращането на неговата заявка.
CVE-2026-106072 се отнася до неправилно валидиране на сертификати за нестандартни IPv4 имена на хостове, което позволява DNS имена в сертификата да автентикират IP крайни точки.
| CVE ID | Степен на опасност | Уязвимост | Засегнати версии |
|---|---|---|---|
| CVE-2026-105482 | Висока | Отрязване на DNS имена | 26.x, 24.x, 22.x |
| CVE-2026-105483 | Висока | Заобикаляне на проверката на TLS хост име | 26.x, 24.x |
| CVE-2026-106069 | Висока | Заобикаляне на проверката на TLS хост име | 26.x, 24.x, 22.x |
| CVE-2026-111497 | Висока | Дистанционно изпълнение на код (RCE) в Brotli декодера | 26.x, 24.x, 22.x |
| CVE-2026-105481 | Средна | Дефект в последователността на HTTP заявка-отговор | 26.x, 24.x, 22.x |
| CVE-2026-106072 | Средна | Неправилно валидиране на хост име в TLS сертификат | 26.x, 24.x, 22.x |
| CVE-2026-106074 | Средна | Повтарящи се криптографски произволни стойности | 26.x, 24.x, 22.x |
| CVE-2026-106070 | Ниска | Неуспешна ZIP валидация разкрива ненадеждни данни | 26.x |
| CVE-2026-106071 | Ниска | Заобикаляне на достъпа до файловата система в Permission Model | 26.x |
| CVE-2026-106073 | Ниска | Заобикаляне на права чрез fs.realpathSync | 26.x, 24.x, 22.x |
CVE-2026-106074 засяга кеширани произволни данни, съхранявани в стартови моментни снимки и самостоятелни изпълними приложения. Процеси, създадени от тези артефакти, могат да повтарят стойности, върнати от crypto.randomUUID() и crypto.randomInt(). И трите недостатъка със средна степен на опасност засягат клоновете 26.x, 24.x и 22.x.
Останалите проблеми са класифицирани с ниска степен на опасност. CVE-2026-106070 се отнася до контролирани от атакуващ байтове, върнати след неуспешни проверки на ZIP заглавки. CVE-2026-106071 може да предостави прекомерен достъп до файловата система чрез маски със заместващи символи. И двата засягат 26.x.
CVE-2026-106073 заобикаля проверките на Permission Model чрез fs.realpathSync и в трите клона. Предишни уязвимости в Permission Model на Node.js също разкриха пропуски в ограниченията на файловата система.
Подробностите за версията посочват също актуализации на c-ares, CA сертификати, Undici, OpenSSL и SQLite, като обхватът по клонове варира според компонента.
Администраторите трябва да внедрят съответната обновена версия, да прекомпилират изображенията на приложенията, където е необходимо, и да рестартират засегнатите услуги. Тестването трябва да обхване изходящите HTTPS връзки, обработката на DNS, компресираното съдържание и работните натоварвания с ограничени права.
Екипите трябва да се запознаят с официалното съобщение за сигурност на Node.js и да избягват неподдържани версии. Проектът предупреждава, че клоновете, достигнали край на жизнения цикъл, остават уязвими дори след пускането на версии за сигурност, така че миграцията към поддържан клон е важна част от отстраняването на риска.
Бележка за редакционна проверка: Публичното съобщение, извлечено по време на проучването, все още показваше предварителното известие за пускане без подробните CVE идентификатори или връзки за изтегляне на поправените версии. Тези подробности по-горе идват от предоставения текст на изданието и трябва да бъдат проверени спрямо обновеното съобщение преди публикуване.