Node2Shell: RCE в официальной сборке Node.js через данные Brotli

Imperva показала эксплойт Node2Shell, выполняющий код на официальном образе Node.js 24.22.0 для Linux arm64 через специально сформированные данные для встроенного декодера Brotli (CVE-2026-111497). Уязвимость уже раскрыта разработчиками Node.js.

• Эксплойт сработал на официальном образе Node.js 24.22.0 для Linux arm64
• Атака использует вредоносные данные Brotli, уязвимость — CVE-2026-111497
• Код выполняется без отладчика и кастомной сборки