Ti sårbarheter i Node.js, fire med høy alvorlighetsgrad

Dusty old piano keys with 'alwin katz berlin' visible — Pauline Bernfeld / Unsplash

Utviklingsteamet bak Node.js har offentliggjort ti sårbarheter i JavaScript-kjøremiljøet.

Utviklingsteamet offentliggjorde ti sårbarheter basert på CVE den 21. oktober 2026. Ingen av dem har den høyeste alvorlighetsgraden, kritisk, men fire har den nest høyeste, høy.

CVE-2026-111497 gjelder behandling av komprimerte data i Brotli-format. Feilen kan føre til skriving utenfor minneområdet og kan gjøre det mulig å kjøre kode eksternt. Node.js 26.x, 24.x og 22.x er berørt.

I DNS-navneoppslag kan navn som inneholder NUL-tegn bli avkortet, ifølge CVE-2026-105482. CVE-2026-105483 og CVE-2026-106069 gjelder IP-adresseangivelse og tolkning, og kan gjøre det mulig å omgå vertsnavnkontroll i TLS-sertifikater.

Andre feil omfatter mangelfull sertifikatverifisering, dupliserte tilfeldige verdier ved bruk av oppstartssnapshots og omgåelse av tilgangskontroll for filer. Tre har middels alvorlighetsgrad og tre har lav.

Utviklingsteamet har utgitt Node.js 26.12.1, 24.22.1 og 22.23.4. De har også oppdatert tredjepartskomponentene c-ares, OpenSSL, SQLite og Undici for å håndtere kjente sårbarheter.

Brukere av utgåtte versjoner uten støtte bes om å gå over til støttede versjoner og fjerne sårbarhetene.