Vulnerabilità · 5 ore fa
Imperva ha dimostrato l’esecuzione di codice su una build ufficiale di Node.js 24.22.0 per Linux arm64: la prova supera i test precedenti, limitati a una build alterata. Il risultato è stato intermittente e ha richiesto vari tentativi; non sono stati riportati attacchi in corso.
La falla, CVE-2026-111497, è nel decoder Brotli. Un flusso costruito ad arte lo porta a un cambio di blocco che la struttura stessa dei dati dichiara impossibile. Il decoder gestisce male la contraddizione, corrompe la memoria e può lasciare all’attaccante il controllo del processo, con i privilegi di quest’ultimo.
Il rischio riguarda i servizi Node.js 22.x, 24.x e 26.x che decodificano dati Brotli non attendibili. Può bastare un middleware di Express 5 che decomprime il corpo di una richiesta prima di interpretarlo come JSON; anche fetch() può decodificare risposte compresse. Node.js 24.22.1 respinge lo stesso input, ma la dimostrazione ha riguardato una sola build e non chiarisce l’affidabilità dell’exploit sulle altre architetture o le versioni corrette di tutte le linee. Un decoder Brotli distribuito separatamente può inoltre restare esposto anche dopo l’aggiornamento del runtime.
4 fonti che coprono questa storia
Kwetsbaarheid in Google Brotli-decoder
Deze bibliotheek wordt onder meer gebruikt in Node.js.
Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data
Imperva demonstrated code execution via crafted Brotli data on an official Node.js 24.22.0 Linux arm64 image; Node.js has issued fixes.
Node.js Brotli Decoder Bug Could Allow Remote Code Execution in All Supported Versions
Node.js fixes 10 flaws, including a Brotli decoder bug that may allow code execution when apps decompress attacker-controlled data.
Patch Your Node and Eat Your Brotli Or You Won’t Get Dessert
Node2Shell is an RCE in the Brotli decoder bundled with Node.js which Express, Koa, and Fastify setups reach it, update to fix it.
Node.js: risolte molteplici vulnerabilità
Rilasciati aggiornamenti di sicurezza che risolvono 10 vulnerabilità, di cui 4 con gravità “alta”, in Node.js, noto software open source per l’esecuzione di codice Javascript.
Part of the PlainSec briefing for 2026-10-23