Google Brotli解码器曝出严重内存损坏漏洞，影响Node.js、Python、Bun、Envoy等主流软件，Imperva已证明可在Node.js上远程代码执行，你的应用可能正在解压恶意数据。

IT之家 10 月 21 日消息，开源 JavaScript 运行时环境 Node.js 今日针对 26.x、24.x 和 22.x 系列版本发布安全更新，修复 10 余个安全漏洞，包含 4 个高危漏洞。 IT之家附本次更新修复漏洞如下： 该漏洞影响 ...

在广泛应用于网站及服务器开发的Node.js中，发现了一个高风险漏洞。当处理攻击者精心构造的Brotli压缩数据时，该漏洞可能导致远程代码执行。Node.js项目组已针对受影响的22、24及26版本发布了安全补丁，国内安全行业也已展开紧急响应。

在开源Java运行时环境Node.js的最新动态中，10月21日官方宣布针对26.x、24.x和22.x三个主要版本发布安全更新。这次更新引发了广泛关注，因为它修复了超过10个安全漏洞，其中4个被评估为高危漏洞，官方强烈建议用户尽快进行版本升级，以保障系统安全。 此次安全更新涵盖了Node.js的三条主力版本线，绝大多数漏洞同时影响到26.x、24.x和22.x版本。最引人注目的是位于Brotli ...

IT时代网10月26日消息，Node.js被披露存在一处名为Node2Shell的高危漏洞，攻击者可经Brotli压缩解压模块在无需身份验证的情况下远程执行恶意代码，或导致服务器异常终止。Node.js开发团队已评定其风险等级为高，并向受影响版本发布安全补丁。该漏洞源于Brotli模块在解压过程中处理超出已分配内存范围的数据时引发程序内存损 ...

IT时代网10月21日消息，开源JavaScript运行时环境Node.js今日针对26.x、24.x和22.x三个系列版本发布安全更新，累计修复10余个安全漏洞，其中4个为高危漏洞，官方建议用户尽快升级。本次更新覆盖三条主力版本线，绝大多数漏洞同时影响26.x、24.x和22.x。其中最受关注的一处缺陷位于Brotli解码器，该组件在特定情况下可能发生 ...

根据OpenAI和Patch the Planet的数据，Brotli库的一个漏洞使得通过恶意压缩数据实现未经认证的远程代码执行，促使新的Brotli发布、发布CVE以及Node.js和Bun等项目的下游安全更新。 OpenAI 利用人工智能代理进行的红队行动发现了 Brotli 压缩库中未认证的远程代码执行漏洞，该库被 Node.js、Bun 和 Envoy 等软件所包含。该漏洞允许攻击者通过发 ...

10月21日晚间，Railway 检测到存储客户环境变量的系统出现异常活动。初步调查显示，未经授权的第三方可能访问了加密的环境变量，并获取了部分变量的解密后明文内容。这些变量通常存放 API 密钥、数据库密码和私有镜像仓库凭证，对于许多使用 Railway 部署 AI 应用的开发者而言，这意味着 Stripe、OpenAI、Anthropic 等服务的密钥可能已经外泄。

全球70%网站使用的编程语言“PHP”之后，主要网络服务运行工具“Node.js”也被曝存在致命安全漏洞。黑客无需密码，仅发送一个经过构造的压缩文件，即可远程控制服务器。

Theori已完成对Node.js严重漏洞“Node2Shell”（CVE-2026-111497）的复现验证，并发布面向企业和机构的紧急应对建议。该漏洞由Brotli解码模块越界写入引发，可能导致拒绝服务、内存泄漏，严重时可被利用实现远程代码执行。