Node.js сегодня закрыл 4 уязвимости высокой степени опасности

Самая серьёзная, CVE-2026-111497, находится в декодере Brotli и, по словам Node.js, позволяет выполнять код удалённо.

Две ошибки позволяли обойти проверку имени хоста в TLS. Ваше приложение может принять за действительный сертификат, который не принадлежит серверу, с которым оно общается.

Если у вас есть что-то на Node.js:

➡️ Выполните node -v. Если версия ниже v22.23.4, v24.22.1 или v26.12.1, обновитесь

➡️ Если вы деплоите с Docker, пересоберите образ. Обновление вашей машины не изменит то, что в продакшене

➡️ Если вы всё ещё на Node.js 18 или 20, для вас нет патча: пора мигрировать