Node.js三条版本线发布安全更新，修复Brotli解压可致远程执行代码的高危漏洞

宝玉（@dotey）整理称，Node.js 10月21日给仍在维护的三条版本线发布安全更新：22.x升到v22.23.4，24.x升到v24.22.1，26.x升到v26.12.1。三条线都修了高危漏洞，最严重的一个出在自带的Brotli解压组件，存在越界写入，官方称可能被用来远程执行代码，公告未说明触发条件。

据其整理，另有三个漏洞出在HTTPS证书核对上，都与IP地址写法有关，全角数字写法的那个只影响24.x和26.x；dns.resolve遇到夹着空字符的域名会截断；使用启动快照或单文件可执行（SEA）打包的程序，crypto.randomUUID()和randomInt()每次启动会生成相同的值。20.x和25.x已停止维护，这次没有补丁。

三个新版本还加了内置黑名单，第一批放入的就是eMudhra那8枚问题中间证书。推瓜社此前报道过eMudhra证书私钥极弱一事。

Vercel CEO（@rauchg）称，Vercel已在官方补丁发布前为这次Node.js远程代码执行漏洞上线防火墙级缓解，所有部署的流量自动受保护，并在推进托管运行时升级。

以上为宝玉整理的Node.js公告与Vercel方面的说法，本社未独立核实。