Node.js修補4項高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼

Node.js所有仍受支援的版本分支都受到高風險漏洞影響，範圍涵蓋Brotli資料解壓縮、TLS憑證驗證及網域名稱解析等常用功能，Node.js專案於10月21日發布安全更新，修補10項漏洞，其中有4項被列為高風險。修補版本為26.12.1、24.22.1及22.23.4，均已開放下載。

Brotli是常見的網頁資料壓縮格式，Node.js內建的解壓縮功能存在CVE-2026-111497漏洞。程式在解壓縮資料時，可能將內容寫入超出預定範圍的記憶體，造成記憶體資料遭破壞，嚴重時可能讓攻擊者遠端執行程式碼。該漏洞影響三個版本分支，但官方尚未詳細說明攻擊所需條件，也未公布遭實際利用的案例。

TLS部分修補兩項高風險漏洞，分別與全形數字及非標準格式的IP位址有關。正常情況下，程式建立安全連線時，必須確認伺服器提供的憑證是否符合連線對象，Node.js在處理特定IP位址寫法時，可能錯誤接受原本不應通過驗證的憑證。其中全形數字問題影響24.x與26.x版本，另一項則影響全部三個版本分支。

另一項高風險漏洞發生在DNS網域名稱解析功能，當程式收到含有NUL字元的網域名稱，實際查詢時可能在該字元處截斷名稱，導致程式原本檢查的網域名稱與真正查詢的對象不同，當應用程式依據網域名稱限制存取對象，便可能因此產生安全風險。

其他3項中度風險漏洞涉及HTTP連線處理，與另一個TLS憑證驗證問題，以及特定啟動方式下可能重複產生相同亂數的缺陷，3項低風險漏洞則與ZIP檔案處理及檔案存取權限有關。此次更新也修補部分相依元件的安全問題，並更新憑證信任資料，以因應eMudhra中繼憑證私鑰遭破解的事件。Node.js建議使用者安裝仍受支援版本的安全更新。