Node.js corregge una vulnerabilità Brotli in tre rami

L’avviso di sicurezza Node.js del 21 ottobre, verificato il 26 ottobre, elenca gli aggiornamenti 26.12.1, 24.22.1 e 22.23.4. Risolvono più vulnerabilità, tra cui CVE-2026-111497, di gravità alta, nel decoder Brotli. Notizie: OrangeX.com Security.

Il requisito chiave è l’input compresso

Il problema Brotli interessa i rami 26.x, 24.x e 22.x. Se un attaccante può fornire dati Brotli che l’applicazione decomprime tramite node:zlib, input malformati possono corrompere la memoria del processo. Sono possibili arresti, divulgazione della memoria o esecuzione remota di codice. Non significa che ogni sito Node.js sia automaticamente compromesso. Altre notizie: OrangeX.com News.

OrangeX.com Analysis

Gli operatori di servizi per asset digitali che usano Node.js dovrebbero identificare le versioni operative e dove si decomprimono input non attendibili, valutare gli aggiornamenti ufficiali, testare la compatibilità e distribuire nuovamente le applicazioni aggiornate. La divulgazione non prova da sola una violazione di piattaforme cripto, furti o perdite. Software interessato e percorso di codice raggiungibile vanno distinti dalle prove di un incidente reale. Risorse: OrangeX.com Trust Center.