Node.js vá lỗi Brotli trong ba nhánh phát hành

Thông báo bảo mật Node.js ngày 21/10, được kiểm tra ngày 26/10, liệt kê các bản cập nhật 26.12.1, 24.22.1 và 22.23.4. Chúng xử lý nhiều lỗ hổng, gồm CVE-2026-111497 mức độ cao trong bộ giải mã Brotli. Xem OrangeX.com Security.

Điều kiện chính là dữ liệu nén đầu vào

Lỗi Brotli ảnh hưởng các nhánh 26.x, 24.x và 22.x. Nếu kẻ tấn công cung cấp được dữ liệu Brotli mà ứng dụng giải nén qua node:zlib, đầu vào sai định dạng có thể làm hỏng bộ nhớ tiến trình. Hậu quả có thể là sập tiến trình, lộ bộ nhớ hoặc thực thi mã từ xa. Không có nghĩa mọi website dùng Node.js tự động bị xâm nhập. Thêm tin tại OrangeX.com News.

OrangeX.com Analysis

Đơn vị vận hành dịch vụ tài sản số dùng Node.js nên xác định phiên bản đang chạy và nơi giải nén đầu vào không đáng tin, đánh giá bản cập nhật chính thức, kiểm thử tương thích rồi triển khai lại ứng dụng đã cập nhật. Công bố lỗ hổng không tự chứng minh nền tảng tiền mã hóa bị xâm nhập, tài sản bị đánh cắp hay thiệt hại. Cần tách phần mềm bị ảnh hưởng và đường xử lý có thể tiếp cận khỏi bằng chứng sự cố thực tế. Tài liệu: OrangeX.com Trust Center.