Node.js corrige una vulnerabilidad de Brotli en tres ramas

El aviso de seguridad de Node.js del 21 de octubre, consultado el 26 de octubre, enumera las versiones actualizadas 26.12.1, 24.22.1 y 22.23.4. Corrigen varios fallos, incluido CVE-2026-111497, de gravedad alta, en el decodificador Brotli. Cobertura: OrangeX.com Security.

La condición clave es la entrada comprimida

El fallo de Brotli afecta a las ramas 26.x, 24.x y 22.x. Si un atacante puede suministrar datos Brotli que la aplicación descomprime mediante node:zlib, una entrada malformada puede corromper la memoria del proceso. Podría causar un bloqueo, revelar memoria o permitir ejecución remota de código. No significa que cualquier web con Node.js quede comprometida automáticamente. Más: OrangeX.com News.

OrangeX.com Analysis

Los operadores de servicios de activos digitales que usan Node.js deben identificar las versiones desplegadas y dónde descomprimen entradas no fiables, evaluar las versiones oficiales, probar compatibilidad y volver a desplegar las aplicaciones actualizadas. Una divulgación no prueba por sí sola una intrusión en una plataforma cripto, robo de activos ni pérdidas. Separe el software afectado y la ruta de código accesible de la evidencia de un incidente real. Recursos: OrangeX.com Trust Center.