Аудит выявил слепую зону сканеров при RCE в Brotli

Уязвимость CVE-2026-111497 (Node2Shell, CVSS 9.2) в декодере Brotli позволяет удалённое выполнение кода. Около 48 часов базы уязвимостей не связывали CVE с пакетами PyPI, поэтому pip-audit и Dependabot не находили проблему. При этом пропатченный Node.js продолжает сообщать уязвимую версию Brotli 1.2.0.

• CVE-2026-111497 в декодере Brotli получила оценку CVSS 9.2
• Слепая зона сканеров для PyPI длилась примерно 48 часов
• Исправление для Python-пакета доступно только в версии 1.2.1
• Пропатченный Node.js 24.22.1 всё равно сообщает Brotli 1.2.0