Node2Shell: RCE через повреждение памяти в Brotli затрагивает Node.js

Исследователь опубликовал PoC для CVE-2026-111497 — повреждения памяти в декодере Brotli 1.2.0, затрагивающего Node.js 22.x до 22.23.4, 24.x до 24.22.1 и 26.x до 26.12.1. Уязвимость позволяет перезаписать состояние декодера и через callback-путь дойти до system().

• Уязвимы Node.js 22.x до 22.23.4, 24.x до 24.22.1 и 26.x до 26.12.1
• Ошибка в DecodeBlockTypeAndLength: BROTLI_FALSE (0) путается с BROTLI_DECODER_SUCCESS
• Малые фрагменты входа ведут к записи за границы буфера, крупные — к циклу CPU (DoS)
• Перезапись callback-состояния даёт нативное выполнение команд без JS-примитивов