Кибербезопасность
Уязвимости Node.js и Brotli, затрагивающие продукты Cisco
Cisco PSIRT 21 октября 2026 года сообщил о рядах уязвимостей в версиях Node.js 22.x, 24.x и 26.x. Проблемы связаны с декодированием Brotli, разрешением DNS и проверкой сертификатов TLS, что создает риски удаленного выполнения кода и перехвата трафика.
В текущем бюллетене указаны четыре идентификатора CVE с высоким уровнем критичности. К ним относятся CVE-2026-111497 (выход за границы записи при декодировании Brotli), CVE-2026-105482 (усечение при разрешении DNS-имён из-за встроенных NUL-символов), CVE-2026-105483 (обход проверки имени TLS с использованием полных ширины IP-адресов) и CVE-2026-106069 (обход проверки TLS с недопустимыми IP-адресами).
30 октября 2026 года исследования распространили охват на компоненты Brotli вне Node.js. Уязвимость декодирования Brotli C от Google (CVE-2026-111497) может повлиять на другое программное обеспечение. Как отметил Cisco, продукты, не включенные в список, считаются не затронутыми этими уязвимостями. Информация обновляется.
Перевод редакционного материала. Полный текст объявления доступен в первоисточнике.