一、漏洞描述
近日，Node.js官方发布了10 月安全更新，本次更新修复了10个漏洞，包含4 个高危漏洞，其中最需要重点关注的是CVE-2026 -111497（Brotli 解码器RCE），攻击者可能利用Nod e .j s Brotli 解码器越界写入问题实现远程代码执行。此外，多项TLS 相关漏洞可能导致证书主机名校验被绕过。
二、影响范围
CVE 编号 |
严重程度 |
漏洞名称 |
受影响版本 |
CVE-2026-111497 |
高危 |
Brotli 解码器RCE |
26.x、24.x、22.x |
CVE-2026-105482 |
高危 |
dns .resolve*空字节截断 |
26.x、24.x、22.x |
CVE-2026-105483 |
高危 |
TLS 主机名校验绕过 |
26.x、24.x |
CVE-2026-106069 |
高危 |
TLS 主机名校验绕过 |
26.x、24.x、22.x |
CVE-2026-105481 |
中危 |
HTTP 请求与响应顺序错误 |
26.x、24.x、22.x |
CVE-2026-106072 |
中危 |
TLS 证书主机名校验不当 |
26.x、24.x、22.x |
CVE-2026-106074 |
中危 |
密码学随机值重复 |
26.x、24.x、22.x |
CVE-2026-106070 |
低危 |
ZIP 校验失败后暴露不可信数据 |
26.x |
CVE-2026-106071 |
低危 |
权限模型文件系统访问绕过 |
26.x |
CVE-2026-106073
|
低危 |
fs .realpathSync 权限绕过 |
26.x、24.x、22.x |
三、安全建议
使用Node.js22.x、24.x、26.x的，分别升级至不低于22.23.4、24.22.1、26.12.1 的版本，并重启相关进程。20.x、21.x、23.x、25.x无官方修复，需要迁到受支持的版本线。
以下方案为应急临时措施
1、针对CVE-2026-111497【Brotli 解码器越界写】：防护类设备或反向代理若能检查HTTP 头部，可拒绝Content-Encoding 中含br的入站请求（按编码令牌比较，忽略大小写）；应用作为客户端访问不可信上游时：a xios、got 可关闭自动解压。
2、 针对CVE-2026-105482【`dns .resolve*`域名空字节截断】：在调用dns .resolve*前检查域名：若包含空字节（'\0'），拒绝本次查询。
