Problem News23 ott 2026

Node.js: dati Brotli malevoli possono eseguire codice (CVE-2026-111497)

Grave falla (high) in Node.js: un bug di scrittura fuori dai limiti nel decoder Brotli integrato. Se un processo Node decomprime dati Brotli controllati da un attaccante, può far trapelare la memoria o eseguire codice arbitrario con i permessi del processo. L'hanno trovata i ricercatori di OpenAI Codex Security.
Node non decomprime Brotli da solo: sei esposto se la tua app o una libreria lo fa su dati di terzi, per esempio il corpo di una richiesta con Content-Encoding: br, una risposta scaricata con fetch() o zlib.brotliDecompress. La correzione arriva dal progetto google/brotli.
Fa parte del rilascio di sicurezza del 21 ottobre: 10 CVE, 4 di livello high (le altre tre riguardano TLS e DNS). Vercel ha attivato regole WAF per tutti i progetti, ma avverte che non sostituiscono l'aggiornamento. Anche Bun usa lo stesso decoder: secondo la segnalazione ogni versione è vulnerabile e la correzione (al 23 ottobre) è ancora in revisione.
Cosa fare: aggiorna a Node.js 22.23.4, 24.22.1 o 26.12.1 e riavvia ogni processo: server, container, CI e PC di sviluppo. Node 20 e precedenti sono a fine vita e non avranno la patch: passa a 22 o 24. Se Node arriva dai pacchetti di Debian/Ubuntu, aggiorna anche libbrotli. Su Vercel, i progetti su Node 20 vanno spostati a 22/24 e ripubblicati.

Fonti

Problem News23 ott 2026

Grave falla (high) in Node.js: un bug di scrittura fuori dai limiti nel decoder Brotli integrato. Se un processo Node decomprime dati Brotli controllati da un attaccante, può far trapelare la memoria o eseguire codice arbitrario con i permessi del processo. L'hanno trovata i ricercatori di OpenAI Codex Security.
Node non decomprime Brotli da solo: sei esposto se la tua app o una libreria lo fa su dati di terzi, per esempio il corpo di una richiesta con Content-Encoding: br, una risposta scaricata con fetch() o zlib.brotliDecompress. La correzione arriva dal progetto google/brotli.
Fa parte del rilascio di sicurezza del 21 ottobre: 10 CVE, 4 di livello high (le altre tre riguardano TLS e DNS). Vercel ha attivato regole WAF per tutti i progetti, ma avverte che non sostituiscono l'aggiornamento. Anche Bun usa lo stesso decoder: secondo la segnalazione ogni versione è vulnerabile e la correzione (al 23 ottobre) è ancora in revisione.
Cosa fare: aggiorna a Node.js 22.23.4, 24.22.1 o 26.12.1 e riavvia ogni processo: server, container, CI e PC di sviluppo. Node 20 e precedenti sono a fine vita e non avranno la patch: passa a 22 o 24. Se Node arriva dai pacchetti di Debian/Ubuntu, aggiorna anche libbrotli. Su Vercel, i progetti su Node 20 vanno spostati a 22/24 e ripubblicati.