Zranitelnosti v Node.js

Dne 21. října 2026 vydal projekt Node.js bezpečnostní aktualizace opravující deset zranitelností, včetně jedné umožňující potenciální vzdálené spuštění kódu (RCE). Nejzajímavější je CVE-2026-111497, chyba dekodéru Brotli, kterou objevili výzkumníci využívající OpenAI Codex Security. Chyba je v nativním dekodéru Brotli, nikoli v samotném JavaScriptu. Speciálně vytvořený komprimovaný vstup způsobí, že dekodér zamění neplatnou změnu bloku za požadavek na další data. Pokračuje ve zpracování, až může zapisovat za konec interního bufferu. Důsledkem může být zhroucení procesu, zpřístupnění paměti, případně spuštění útočníkova kódu s právy procesu Node.js. Aktualizace jsou k dispozici. Zdroj: Imperva.

dnes 00:44 | vencour | Bezpečnostní upozornění

Komentáře