Node.js krijgt tien beveiligingspatches na ontdekking van ernstige kwetsbaarheden

Close-up of white and black piano keys — Zulfugar Karimov / Unsplash

Het Node.js-team heeft tien nieuwe kwetsbaarheden aangekondigd in de JavaScript-runtime. Onder deze bevindingen bevindt zich een fout die leidt tot het uitvoeren van code op afstand. Het team heeft een beveiligingsupdate gepubliceerd om deze problemen op te lossen.

Op 21 oktober 2026 maakte het team de tien kwetsbaarheden bekend. Geen van deze problemen is ingedeeld als kritiek, wat de hoogste van de vier ernstniveaus is. Wel zijn er vier kwetsbaarheden met een hoge ernst. De overige zes zijn verdeeld over de niveaus medium en laag.

De kwetsbaarheid met de identificatie CVE-2026-111497 ontstaat tijdens het uitpakken van gecomprimeerde data in het Brotli-formaat. Hierbij wordt er buiten de toegestane geheugenruimte om geschreven. Dit kan leiden tot het uitvoeren van code op afstand. De versies 26.x, 24.x en 22.x van Node.js zijn hierdoor getroffen.

Daarnaast zijn er problemen gevonden in de naamopzoeking van domeinnamen. Een kwetsbaarheid met de identificatie CVE-2026-105482 zorgt ervoor dat namen met een NUL-teken voortijdig worden afgekapt. Twee andere kwetsbaarheden, met de identificaties CVE-2026-105483 en CVE-2026-106069, maken het mogelijk om de verificatie van de hostnaam in een TLS-certificaat te omzeilen door de manier waarop IP-adressen worden weergegeven en geïnterpreteerd.

De overige kwetsbaarheden omvatten onvoldoende verificatie van certificaten, herhaalde waarden bij het genereren van willekeurige getallen tijdens het gebruik van opstartmomentopnamen en het omzeilen van toegangscontroles voor bestanden. Drie van deze problemen zijn ingedeeld als medium en drie als laag.

Het team heeft de gecorrigeerde versies 26.12.1, 24.22.1 en 22.23.4 uitgebracht. Tegelijkertijd zijn de externe componenten c-ares, OpenSSL, SQLite en Undici bijgewerkt om bekende kwetsbaarheden in deze afhankelijkheden te verhelpen. Gebruikers van oudere versies die niet meer worden ondersteund, worden verzocht over te stappen op een versie die nog wordt ondersteund om de kwetsbaarheden te elimineren.