Node.js 安全更新修复 4 个高危漏洞含 Brotli 远程代码执行

jedisct1 · x · 2026-10-21

Node.js 发布覆盖 26.x、24.x、22.x 的安全更新，修复 4 个高危问题：dns.resolve 截断含 NUL 字符的名称（CVE-2026-105482）、全角数字写 IP 导致 TLS 证书主机名绕过（CVE-2026-105483，影响 26.x/24.x）、主机宽松解析为 IP 时的 TLS 主机名绕过（CVE-2026-106069），以及 Brotli 解码器越界写可致远程代码执行（CVE-2026-111497）。另含一个 medium 级 keep-alive socket 问题。更新同时升级 c-ares、ca-cert（eMudhra 中间 CA 被攻破）、OpenSSL、SQLite、Undici 等依赖。