Проект Node.js выпустил экстренные обновления безопасности для веток 26.x, 24.x и 22.x. Патчи устраняют более 10 уязвимостей, среди которых четыре критические угрозы высокого уровня опасности.
К числу наиболее опасных проблем относится уязвимость в декодере Brotli, допускающая удаленное выполнение кода, а также три ошибки, позволяющие обойти проверку имен хостов в TLS-сертификатах. Эти бреши затрагивают различные комбинации версий 26.x, 24.x и 22.x.
Также исправлены уязвимости среднего уровня, связанные с некорректной обработкой Keep-alive сокетов, ошибками проверки сертификатов для IPv4-хостов и проблемами кэширования энтропии в функциях crypto, что приводило к генерации повторяющихся значений.
Обновления также закрывают уязвимости низкого уровня, включая ошибки при проверке заголовков ZIP-файлов, избыточные права доступа к файловой системе и возможность обхода модели разрешений через fs.realpathSync. Исправления доступны в версиях v22.23.4, v24.22.1 и v26.12.1.
