تحديثات أمنية لـNode.js تعالج ثغرة تنفيذ شيفرة عن بُعد في فك ضغط Brotli

أصدر مشروع Node.js إصدارات أمنية للفروع 22.x و24.x و26.x، وأعلى الثغرات المعالجة خطورةً هي «عالية». وصلت الإصدارات: 22.23.4 و24.22.1 و26.12.1.

الثغرة الأخطر: Brotli

أخطر ما في التحديث ثغرة (CVE-2026-111497): كتابة خارج حدود الذاكرة في فك ضغط Brotli تتيح تنفيذ شيفرة عن بُعد، وتؤثر في الفروع الثلاثة. وقد بدأت منصة Vercel بنشر قواعد جدار حماية تصدّ أنماط الاستغلال المعروفة قبل صدور الإصدارات الرسمية، وتطرح ترقيات لبيئات التشغيل المُدارة لديها.

ثغرات عالية أخرى

يعالج الإصدار أيضًا ثلاث ثغرات عالية الخطورة: اقتطاع الاسم عند وجود محرف NUL في dns.resolve (CVE-2026-105482)، وتجاوزان للتحقق من اسم المضيف في شهادات TLS: أحدهما حين يُكتب عنوان IP بأرقام عريضة (CVE-2026-105483، يخص الفرعين 26 و24)، والآخر حين يُحلّل المضيف تحليلًا فضفاضًا إلى عنوان IP (CVE-2026-106069). وهناك ثغرات متوسطة ومنخفضة، منها تكرار قيم crypto.randomUUID() في اللقطات الجاهزة للتشغيل، وثغرتان في نموذج الصلاحيات.

كما حدّث الإصدار مكتبات c-ares وundici وOpenSSL وSQLite وشهادات CA. وينبّه الفريق إلى أن الإصدارات المنتهية الدعم تتأثر دائمًا بمثل هذه الإصلاحات.

ماذا تفعل الآن؟

إن كنت تشغّل Node.js في الإنتاج، فحدّث إلى أحد الإصدارات أعلاه، وانتبه خاصة للخدمات التي تفك ضغط Brotli من مصادر خارجية.

الكلمات المفتاحية: Node.js، ثغرة أمنية، Brotli، تنفيذ شيفرة عن بُعد، CVE-2026-111497، تحديث أمني، Vercel

المصدر: مدونة Node.js: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases