Vercel предупредила об уязвимости Brotli в Node.js с риском выполнения кода
Vercel 24 октября опубликовала предупреждение о CVE-2026-111497 — уязвимости в декодере Brotli, встроенном в Node.js. Ошибка позволяет обработать специально сформированный сжатый поток так, что запись выходит за границы внутреннего буфера. В зависимости от приложения это может привести к аварийному завершению, раскрытию содержимого памяти или выполнению кода с правами процесса.
Проблема затрагивает ветки Node.js 22.x, 24.x и 26.x. Команда Node.js выпустила исправления 21 октября: рекомендуемые версии — 22.23.4, 24.22.1 и 26.12.1. В том же обновлении закрыли ещё девять проблем, включая две ошибки проверки имён узлов TLS. Node.js отдельно отмечает, что уязвимость находится в библиотеке Brotli, поэтому проверять нужно не только сам runtime, но и продукты, которые поставляют собственную копию декодера.
Риск появляется, когда приложение распаковывает Brotli-данные, контролируемые внешним источником: например, принимает сжатое тело запроса или получает HTTP-ответ от удалённого сервера. Сам по себе факт использования Node.js не означает автоматическую уязвимость — важен конкретный путь декодирования.
Vercel сообщила, что включила правила WAF для известных вариантов входных запросов, но не считает их заменой обновлению. Для самостоятельных установок, контейнеров, CI-раннеров и внешних Node.js-бэкендов компания рекомендует перейти на исправленную версию и пересобрать образы. WAF не закрывает сценарий, в котором приложение декодирует вредоносный ответ, полученный от другого сервера.