Segurança · 25 de outubro de 2026
Também publicado em עברית, Nederlands, Norsk
Vulnerabilidades em Node.js podem permitir execução remota de código
Várias vulnerabilidades foram identificadas no ambiente de execução JavaScript ‘Node.js’. O problema inclui a possibilidade de execução remota de código, levando a equipe de desenvolvimento a publicar uma atualização de segurança.
No dia 21 de outubro de 2026, a equipe de desenvolvimento revelou, com base na CVE, dez vulnerabilidades. Embora não haja vulnerabilidades classificadas como ‘Críticas’, a segunda mais alta, ‘Alta’, está presente em quatro casos.
A vulnerabilidade ‘CVE-2026-111497’ refere-se a um problema no processamento de dados comprimidos no formato ‘Brotli’, onde pode ocorrer escrita em memória fora dos limites. Isso pode permitir a execução remota de código e afeta as versões ‘Node.js 26.x’, ‘24.x’ e ‘22.x’.
Além disso, foram identificadas outras vulnerabilidades, como ‘CVE-2026-105482’, que envolve a truncagem de nomes contendo caracteres NUL durante a resolução de nomes DNS, e ‘CVE-2026-105483’ e ‘CVE-2026-106069’, que permitem contornar a validação do nome do host em certificados TLS devido à representação e interpretação de endereços IP.
Outras três vulnerabilidades, com gravidade classificada como ‘Média’, abordam problemas como falhas na validação de certificados, duplicação de valores de geração de números aleatórios durante o uso de instantâneos de inicialização, e contorno de controles de acesso a arquivos, enquanto três vulnerabilidades são consideradas ‘Baixas’.
Em resposta, a equipe de desenvolvimento lançou as versões corrigidas ‘Node.js 26.12.1’, ‘24.22.1’ e ‘22.23.4’. Além disso, componentes de terceiros, como ‘c-ares’, ‘OpenSSL’, ‘SQLite’ e ‘Undici’, também foram atualizados para resolver vulnerabilidades conhecidas.
A equipe solicitou aos usuários de versões antigas, que já não têm suporte, que migrem para versões suportadas a fim de corrigir as vulnerabilidades.