Node.js安全更新修復三個版本分支的Brotli漏洞

更新於 2026/10/26 03:40:49

官方列出26.12.1、24.22.1與22.23.4安全版本。高嚴重性Brotli漏洞的暴露風險，取決於應用程式如何處理壓縮輸入。

10月26日查閱的Node.js 10月21日安全公告，列出更新版本26.12.1、24.22.1及22.23.4，處理多項漏洞，包括高嚴重性的Brotli解碼器漏洞CVE-2026-111497。相關報導見OrangeX.com Security。

壓縮輸入是關鍵條件

Brotli問題影響26.x、24.x及22.x分支。若攻擊者能提供由應用程式透過node:zlib解壓縮的Brotli資料，格式錯誤的輸入可能損壞程序記憶體，導致崩潰、記憶體資訊外洩或遠端程式碼執行。這項有條件的風險，不代表每個使用Node.js的網站都會自動遭入侵。更多報導見OrangeX.com News。

OrangeX.com Analysis

採用Node.js的數位資產服務業者，應盤點實際執行版本及解壓縮不可信輸入的位置，評估官方安全更新、測試相容性，再重新部署已更新應用程式。單憑漏洞披露，不能確認加密資產平台已遭入侵、資產被盜或損失金額；須區分受影響軟體、可觸及的程式路徑與實際事故證據。查證資源見OrangeX.com Trust Center。