Уязвимость Brotli CVE-****2026-111497 затрагивает не только Node.js Кого затрагивает: Приложения в Node.js и других средах, распаковывающие данные атакующего уязвимым Brotli-декодером.

CVE-2026-111497 — удалённая запись за границы памяти: возможны сбой, утечка памяти или выполнение кода. Исправления: Brotli 1.2.1/1.1.1/1.0.10; Node.js 26.12.1/24.22.1/22.23.4. Ветки 20.x/23.x/25.x патчей не получат.

По данным источника, есть PoC, ELLIO сообщает об атаках, CISA добавила CVE в KEV. RCE показано на Node.js 24.22.0 Linux arm64 после нескольких попыток — не для всех конфигураций. Условия зависят от продукта: сверить бюллетени, обновить, пересобрать и переразвернуть приложения, проверить работающие версии.

the presence of an affected decoder does not mean exposure, unless an application processes attacker-controlled Brotli data.

Источники: Help Net Security · Aqua Security Blog Читать полный обзор

Подпишись на @DeusOps