Node漏洞CVE-2026-111497
【摘要】 Node.js 内置集成了 Brotli 压缩/解压缩模块（通过 zlib.createBrotliDecompress 或处理网络流）。漏洞出在 Brotli 解码核心在处理高度特制的非标准压缩流时，对环形缓冲区（Ring Buffer）和滑动窗口的边界校验失效，导致堆越界写入（Out-of-bounds Write）。攻击者只需向服务端发送恶意构造的 Brotli 压缩数据包（例如 Co...
-
Node.js 内置集成了 Brotli 压缩/解压缩模块（通过
zlib.createBrotliDecompress或处理网络流）。 -
漏洞出在 Brotli 解码核心在处理高度特制的非标准压缩流时，对环形缓冲区（Ring Buffer）和滑动窗口的边界校验失效，导致堆越界写入（Out-of-bounds Write）。
-
攻击者只需向服务端发送恶意构造的 Brotli 压缩数据包（例如
Content-Encoding: br的 HTTP POST 请求体），或者诱导 Node.js 客户端通过fetch去请求一个恶意的外部 Brotli 响应，就可能导致进程崩溃（DoS）甚至劫持控制流实现远程代码执行（RCE）。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）