【セキュリティ ニュース】「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ（1ページ目 / 全1ページ）：Security NEXT

JavaScriptの実行環境である「Node.js」に複数の脆弱性が判明した。リモートからコードを実行されるおそれがある問題も含まれており、開発チームがセキュリティアップデートを公開した。 開発チームは現地時間2026年10月21日、CVEベースで10件の脆弱性を明らかにした。重要度は4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていないが、2番目に高い「高（High）」が4件含まれる。 「CVE-2026-111497」は、「Brotli形式」の圧縮データを展開する処理において、域外メモリへの書き込みが生じる脆弱性。リモートからコードを実行されるおそれがあり、「Node.js 26.x」「同24.x」「同22.x」が影響を受ける。 また「DNS」の名前解決において、NUL文字を含む名前が途中で切り詰められる「CVE-2026-105482」、IPアドレス

[nguyen-oi]

Brotli解凍周りのRCEは影響範囲広そう。Node.jsアプデ手配しないと