Propust koji omogućuje udaljeno izvršavanje koda u dekoderu Brotli ispravljen je u trima granama Node.js-a. Sigurnosna objava od 21. listopada obuhvaća i certifikate, DNS te granice dopuštenja.
Ispravljene verzije su 26.12.1, 24.22.1 i 22.23.4. Node.js izvršava JavaScript izvan preglednika, primjerice na aplikacijskim serverima. Njegove ugrađene biblioteke zato ulaze i u druge proizvode.
CVE-2026-111497 odnosi se na pisanje izvan dopuštenog memorijskog područja u dekoderu Brotli. Projekt ga označava visokom ozbiljnošću i navodi sve tri grane kao pogođene.
Preostale tri ranjivosti visoke ozbiljnosti odnose se na prekid DNS naziva znakom NUL i dva zaobilaženja provjere naziva u TLS certifikatu. Te provjere povezuju identitet iz certifikata s odredištem kojem aplikacija pristupa.
Objava navodi sljedeće oznake:
| CVE | Problem | Ozbiljnost |
|---|---|---|
| CVE-2026-105482 | Prekid DNS naziva | Visoka |
| CVE-2026-105483 | TLS naziv s punim oblicima znamenki | Visoka |
| CVE-2026-106069 | TLS naziv koji se razrješava u IP adresu | Visoka |
| CVE-2026-111497 | Pisanje izvan memorije u Brotli dekoderu | Visoka |
| CVE-2026-105481 | Obrada odgovora na trajnoj vezi | Srednja |
| CVE-2026-106072 | Provjera nestandardnog zapisa IPv4 adrese | Srednja |
| CVE-2026-106074 | Ponavljanje slučajnih vrijednosti u početnim snimkama | Srednja |
| CVE-2026-106070 | Provjera ZIP zaglavlja | Niska |
| CVE-2026-106071 | Preširoka dopuštenja uz zamjenske znakove | Niska |
| CVE-2026-106073 | Zaobilaženje dopuštenja kroz fs.realpathSync | Niska |
Nisu svi problemi prisutni u svakoj grani. Propust s punim oblicima znamenki pogađa 26.x i 24.x, a problemi ZIP-a i zamjenskih znakova granu 26.x.
Nadogradnja uključuje i podatke certifikata nakon kompromitacije eMudhre. Nadogradnja preglednika ne osvježava zasebno instalirani Node.js. Izvršno okruženje treba vlastiti sigurnosni ispravak.
