Node.js发布安全更新修复4个高危漏洞

2026-10-21 23:03:53

Node.js于10月21日针对26.x、24.x和22.x系列发布安全更新，修复10余个漏洞，其中4个为高危，涉及Brotli解码器越界写入可致远程代码执行及TLS证书主机名验证绕过等。

Node.js 于 10 月 21 日针对 26.x、24.x 和 22.x 系列版本发布安全更新，共修复 10 余个安全漏洞，包含 4 个高危漏洞。

高危漏洞包括：dns.resolve 会截断包含 NUL 字符的域名（CVE-2026-105482）；全角数字表示的 IP 地址可绕过 TLS 证书主机名验证（CVE-2026-105483）；主机名经宽松解析为 IP 地址时可绕过 TLS 证书主机名验证（CVE-2026-106069）；Brotli 解码器越界写入可导致远程代码执行（CVE-2026-111497）。

官方同步放出下载链接：Node.js v22.23.4、v24.22.1 和 v26.12.1。