کمیته رکن چهارم– پروژه Node.js به‌روزرسانی‌های امنیتی برای رفع ده نقص منتشر کرده است. یکی از مهم‌ترین آن‌ها در پردازش داده‌های فشرده Brotli قرار دارد و به گفته پروژه می‌تواند اجرای کد مهاجم روی سیستم را ممکن کند.
به گزارش کمیته رکن چهارم، اصلاحیه‌های ۲۱ اکتبر ۲۰۲۶ در نسخه‌های ۲۲.۲۳.۴، ۲۴.۲۲.۱ و ۲۶.۱۲.۱ ارائه شده‌اند. Node.js محیطی برای اجرای برنامه‌های جاوااسکریپت، از جمله روی سرور وب‌سایت‌هاست.
نقص CVE-2026-111497 با دریافت داده فشرده دستکاری‌شده می‌تواند باعث نوشتن خارج از محدوده حافظه شود. برنامه زمانی در معرض این مسیر حمله است که داده Brotli تحت کنترل مهاجم را باز کند؛ این داده ممکن است در درخواست ورودی یا پاسخ دریافتی از سروری دیگر باشد.
شدت نقص «بالا» اعلام شده است. طبق گزارش منتشرشده، نمونه آزمایشی روی ساخت معمول Node.js به توقف برنامه و خواندن محدود حافظه رسیده و اجرای کد در آن شرایط هنوز نشان داده نشده است. هنگام تنظیم خبر نیز بهره‌برداری واقعی گزارش نشده بود.
مدیران باید نسخه شاخه مورد استفاده خود را به نسخه اصلاح‌شده یا جدیدتر ارتقا دهند. توصیه تحریریه این است که نسخه داخل کانتینرها و محیط اجرای سرویس نیز کنترل شود؛ ارتقای بسته‌های خود برنامه جای به‌روزرسانی Node.js را نمی‌گیرد. نسخه‌های پایان‌یافته باید به شاخه پشتیبانی‌شده منتقل شوند.
منبع: The Hacker News
