Node.js закрыла RCE в Brotli-декодере (CVE-2026-111497)

Node.js выпустила 22.23.4, 24.22.1 и 26.12.1 с исправлением десяти CVE, включая критическую CVE-2026-111497 — переполнение буфера в Brotli-декодере, допускающее удалённое выполнение кода. Уязвимость срабатывает при декомпрессии вредоносного Brotli-потока, в том числе через встроенный fetch(), который декодирует Brotli по умолчанию без возможности отключить.

• CVE-2026-111497 — out-of-bounds write в Brotli-декодере, ведёт к RCE
• Встроенный fetch() декодирует Brotli без опции отключения
• Патчи только для линий 22.x, 24.x и 26.x; 18.x и 20.x не получат исправлений
• Дистрибутивы с --shared-brotli ждут патча от пакета brotli