Imperva 演示 Node2Shell：构造 Brotli 数据在 Node.js 官方构建上实现 RCE（CVE-2026-111497）
Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data
AI 导读
Imperva 研究人员演示了名为 Node2Shell 的 PoC，通过向 Node.js 内置的 Brotli 解码器输入构造数据，在官方 Node.js 24.22.0 的 Linux arm64 镜像上执行了攻击者提供的代码，全程未使用调试器或自定义构建，漏洞编号为 CVE-2026-111497。Node.js 已披露该缺陷。
为什么值得看
Imperva 在官方 Node.js 镜像上复现了利用构造 Brotli 数据触发 RCE 的 PoC，可据此判断自带 Brotli 解码器的暴露面。
来源：The Hacker News · thehackernews.com