跳到正文
只看一手#Node.js
今天10月23日周五27 条
  5. GitHub 安全公告库 (GHSA)58

    Astro 修复 JSX/MDX 渲染中 script/style 内容未转义导致的反射与存储 XSS

    Astro 发布安全通告，指出 JSX 与 MDX 渲染管线对 script、style 元素的动态字符串子节点未做转义，攻击者可控值可提前闭合元素并注入任意 HTML 与 JavaScript，造成反射或存储 XSS。

    为什么值得看：通告说明了 Astro 的 JSX/MDX 渲染在动态字符串子节点上未转义，并给出 7.3.2 修复版本与规避写法。

  6. GitHub 安全公告库 (GHSA)47

    Storybook 修复 dev server 局域网代码注入漏洞，发布 8.6.19、9.1.21、10.6.2 等补丁版本

    Storybook 发布安全通告，指出 dev server 会把 WebSocket 认证 token 暴露给任何能加载其 HTML 页面的客户端，同一局域网内的主机可通过 IP 访问并取得该 token，进而向 story 文件注入代码或创建新文件，在特定条件下可在开发者机器上执行代码。

  7. GitHub 安全公告库 (GHSA)58

    toml-node 的 toml.parse() 因超长整数字面量存在 CPU DoS 漏洞

    GitHub 安全公告披露 toml-node 的 toml.parse() 在处理十六进制、八进制、二进制和十进制整数字面量时，未先限制数字串长度就直接调用 BigInt()，导致超线性耗时。

    为什么值得看：公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。

  11. GitHub 安全公告库 (GHSA)58

    fastify 修复 propertyNames 头部名校验绕过问题，升级至 5.12.6

    fastify 发布通告，指出 headers schema 在编译前只把属性键位置的头部名转小写，propertyNames 子 schema 中 enum 与 const 里的头部名未被归一化，导致以标准大小写书写的头部名拒绝列表无法匹配小写请求头，被禁止的头部仍可到达处理函数。

    为什么值得看：通告说明这是 CVE-2026-84428 修复不完整留下的缺口，并给出 5.12.6 升级与两种规避写法。

  12. GitHub 安全公告库 (GHSA)78

    Next.js 通告 use cache 函数返回 typed array 可致免认证 RCE

    GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。

    为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。

  13. GitHub 安全公告库 (GHSA)58

    Nuxt 修复 routeRules 未解码请求路径导致 appMiddleware 被绕过的问题

    Nuxt 通告指出，routeRules 的键与原始请求路径比较时未解码百分号编码，而路由解析会解码参数，因此对动态或通配路由发起的编码路径请求可跳过 appMiddleware 等规则，无需认证与用户交互。

    为什么值得看：通告说明了动态与通配路由下 appMiddleware 被百分号编码绕过的条件，并给出修复版本与页面级中间件的规避方案。

  14. GitHub 安全公告库 (GHSA)42

    Nuxt 修复 GHSA-934w-87qh-qr26 不完整补丁：pages 禁用时控制字符前缀的 javascript: URL 可执行

    Nuxt 披露 GHSA-934w-87qh-qr26（CVE-2026-53722）修复不完整：在 pages 禁用（pages 为 false、无 pages/ 目录）的应用中，将不受控输入绑定到 :to 时，以 ASCII C0 控制字符（如 %01）前缀的 javascript: URL 会被当作内部路由绕过协议检查，点击后在本域执行脚本。

  16. GitHub 安全公告库 (GHSA)58

    Nuxt 修复大小写变体路径跳过服务器端路由规则的问题，4.6.2 已修补

    Nuxt 发布通告，指出在默认 router.options.sensitive: false 下页面路由不区分大小写，而服务器端路由规则由 Nitro 匹配器按大小写敏感解析，导致 /Admin 这类大小写变体路径跳过 redirect、headers、proxy、ssr: false 等规则。

    为什么值得看：通告说明大小写变体路径会跳过 redirect、headers 等服务器端路由规则，并给出 Nuxt 3 无修复的处置建议。

  19. GitHub 安全公告库 (GHSA)58

    @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，12.0.2 已修复

    GitHub 安全公告披露 @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，攻击者可用数组形式的 path 段绕过 __proto__ 等键名检查，向 Object.prototype 写入任意属性。

    为什么值得看：报告给出可运行复现与 npm 各版本实测差异，说明非原始类型 path 段如何绕过键名检查写入 Object.prototype。

  21. GitHub 安全公告库 (GHSA)58

    stream-json 的 FlexAssembler 字符串/RegExp 路径过滤存在 O(depth^2) CPU 拒绝服务问题

    GitHub 安全公告 GHSA-jj87-hc4r-jwfw 指出，npm 包 stream-json 的 FlexAssembler 在规则 filter 为字符串或 RegExp 时，每次容器开始都会对完整 keyStack 执行 join，嵌套深度 D 的文档产生 O(D^2) CPU 开销，约 96 KB（深度 16000）的输入可阻塞事件循环超过 1 秒。

    为什么值得看：通告说明 stream-json 的 FlexAssembler 在字符串或 RegExp 过滤规则下存在平方级 CPU 消耗，并给出 maxDepth 默认 1024 的修复。

  23. GitHub 安全公告库 (GHSA)78

    Next.js 图像优化 API 处理 SVG 时存在免认证 RCE 漏洞

    GitHub 安全公告指出，Next.js 用于图像优化的上游库存在内存相关漏洞，当 Next.js 运行在基于 glibc 的 Linux 上时可能导致 RCE。规避方案是确保 Next.js 使用的 sharp 版本大于或等于 0.35.5，全新安装会自动获得修复版本，升级 Next.js 到已修复版本也能让包管理器自动提供修复后的 sharp。

    为什么值得看：通告说明 Next.js 图像优化依赖的上游库存在内存问题，并给出 sharp 版本与升级两条规避路径。

  26. GitHub 安全公告库 (GHSA)58

    Next.js 修复嵌套 use cache 函数跨 root param 值缓存泄漏问题

    GitHub 安全公告指出，启用 cacheComponents: true 时，若一个 use cache 函数调用另一个读取 root param 的 use cache 函数，且内层调用命中已有缓存条目，外层函数的缓存键会遗漏该 root param，导致同一份响应被复用于所有 root param 值。

    为什么值得看：通告说明启用 Cache Components 后嵌套 use cache 函数的缓存键会漏掉 root param，导致跨值内容串用，且无规避方案。

10月22日周四
  1. The Hacker News63

    Node.js 22.x/24.x/26.x 修复 Brotli 解码器越界写 CVE-2026-111497 等 10 个漏洞

    Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。

    为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。

  4. OpenSSF 恶意包库58

    OpenSSF 恶意包库新增 MAL-2026-18178：npm 包 event-emitter-testmetest 植入窃密载荷

    OpenSSF 恶意包库新增记录 MAL-2026-18178，指出 npm 包 event-emitter-testmetest 由账号 testnewtestme2 于 2026-10-21 发布，先用于测试 data-pipeline-testmetest 2.0.1 的投递链路，随后用于投放该窃密程序。

    同一件事，精选收录的是《OpenSSF 恶意包库记录 npm 包 event-emitter-testmetest 多个版本投递窃密载荷》

  10. GitHub 安全公告库 (GHSA)58

    Vitest 5 开发服务器未正确应用 server.fs.deny，可读取 .env、私钥与 API token 文件

    GitHub 安全公告指出，Vitest 5 在启用 UI（--ui）、Browser Mode 或 api 时，Vite 的 server.fs.deny 未被按预期应用，能访问该服务器的客户端可通过明文 HTTP 读取 .env、私钥与证书、.npmrc、.git 以及 Vitest 的 API token 文件 .vitest-secret-token。

    为什么值得看：通告说明了哪些 Vitest 启动方式会暴露文件、哪些不受影响，并给出显式配置 server.fs.deny 的规避写法。

  11. OpenSSF 恶意包库58

    OpenSSF 恶意包库为 @sudobility 系列 npm 包与 iterquarry 分配 MAL 编号

    OpenSSF 恶意包库提交为多个恶意包分配 MAL 编号，包括 npm 上的 @sudobility/indexer_client 0.0.146、@sudobility/shaperouter_client 0.0.14、@sudobility/testomniac_client 0.0.131、@sudobility/wildduck_client 2.3.102。

    为什么值得看：提交记录显示 @sudobility 系列 npm 包在 postinstall 中投放 XMRig 挖矿程序，并列出 S3 下载地址与矿池域名等 IOC。