Node.js 三条版本线齐发安全更新，最严重漏洞可远程执行代码
dotey · x · 2026-10-22
10 月 21 日，Node.js 为仍在维护的三条版本线发布安全更新：22.x → v22.23.4、24.x → v24.22.1、26.x → v26.12.1，均修复高危漏洞，最严重的可导致远程执行代码。20.x 与 25.x 已停止维护、无补丁，官方建议升级。
- Brotli 解压组件越界写入：可致远程执行代码，修法是同步 Google Brotli 上游改动，更早拒绝格式异常数据。
- HTTPS 证书校验绕过（两个高危+一个中危）：与 IP 地址写法有关——全角数字（如全角"１２７"）或宽松可解析的不规范 IP 可绕过地址核对；修复后直接拒绝不规范 IP，全角数字问题仅影响 24.x/26.x。
- dns.resolve 高危：域名中夹 NUL 空字符时会被截断，实际只查询前半截。
- 随机数缓存中危：使用启动快照或 SEA 单文件打包时，crypto.randomUUID() 与 randomInt() 的缓存会被打进包内，导致每次启动生成相同的"随机"值。
所属事件:Node.js 三版本线发安全更新，Brotli 解码器高危漏洞可 RCE(5 条相关)→
「编程与Agent」频道最新
- CallBaba 发布 BabaBench:测前端 Agent 能否搞定真实病人维权任务 — mattturck · 2026-10-22
- Reddit 开发者吐槽:AI Agent 生产环境失败率高达 70%-95% — Luke17man · 2026-10-22
- Agent 上生产前怎么测?开发者求解异常路径与故障恢复测试难题 — Last-Bluejay-4443 · 2026-10-22
- Reddit 长文提出 Risk and Judgement 模式划定智能体自主权边界 — mostly_deterministic · 2026-10-22
- a16z 详解「钱包大战」:Stripe、Shopify、PayPal 争夺 AI Agent 支付入口 — alvelda · 2026-10-22
- AI 做听书多音字易出错,先让 LLM 标注拼音再 TTS — dotey · 2026-10-22