Node.js Brotli解码器漏洞PoC公开
先了解这件事
有人公开了 CVE-2026-111497 的 PoC：该漏洞是 Node.js 内置 Brotli 解码器中的越界写，畸形压缩输入即可触发。PoC 针对运行 Node.js 22.23.3 的 Express 数据接收接口，攻击者只需发送一个 HTTP POST，无需认证或特殊请求头，即可触发对 Brotli 请求体的解压。PoC 说明称，Node.js v24.22.1 会以 ERR__ERROR_FORMAT_BLOCK_SWITCH 拒绝该数据流。 后续复现分析称，漏洞位于 BrotliDecoderDecompressStream 的流式路径，向 BrotliDecoderState.buffer.u8 拷贝尾部数据时缺少长度校验，影响 Node 22.x 搭配未修复的 libbrotlidec 1.2.0。该分析称，利用需要可预测的内存布局（--predictable 或关闭 ASLR）；若 ldd 未列出 libbrotlidec（官方静态构建中常见），通常无法走通该利用路径。 Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复包括该漏洞在内的 10 个漏洞；项目将该漏洞描述为可导致远程代码执行，评级为 high。修复版本分别为 22.23.4、24.22.1、26.12.1，更早版本均受影响。暴露条件是应用会解压攻击者控制的 Brotli 数据，例如请求体或从其他服务器获取的响应。Node.js 20.x 及更早版本已停止维护，不会获得修复，应迁移到受支持版本。
AI 根据报道生成 · 43 分钟前更新
事件进展
2 个进展
- 10月22日 15:47 · 1 篇报道Node.js 修复 Brotli 解码器越界写漏洞The Hacker News：Node.js 22.x/24.x/26.x 修复 Brotli 解码器越界写 CVE-2026-111497 等 10 个漏洞
- 10月22日 12:08 · 3 篇报道公开CVE-2026-111497的Brotli解码器PoCSploitus 利用聚合：Node.js 内置 Brotli 解码器 CVE-2026-111497 越界写漏洞 PoC 公开
报道时间线
沿着报道，了解事件的不同侧面。
- Sploitus 利用聚合Node.js Brotli 解码器越界写漏洞 CVE-2026-111497 的复现与利用分析
作者公开了 CVE-2026-111497 的复现仓库，该漏洞位于 Node.js 内置 Brotli 解码器 BrotliDecoderDecompressStream 的流式路径，向 BrotliDecoderState.buffer.u8 拷贝尾部数据时缺少长度校验，影响 Node 22.x 搭配未修复的 libbrotlidec 1.2.0。
- Sploitus 利用聚合精选Node.js 内置 Brotli 解码器 CVE-2026-111497 越界写漏洞 PoC 公开
有人公开了 CVE-2026-111497 的 PoC，该漏洞位于 Node.js 内置 Brotli 库的 deps/brotli/c/dec/decode.c，影响 Node.js < 22.23.4、< 24.22.1、< 26.12.1，修复版本为 22.23.4、24.22.1、26.12.1。
- The Hacker News精选Node.js 22.x/24.x/26.x 修复 Brotli 解码器越界写 CVE-2026-111497 等 10 个漏洞
Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。
- Sploitus 利用聚合公开 CVE-2026-111497 的 Brotli 解码器内存破坏 PoC，影响 Node.js
研究者公开 CVE-2026-111497 的可复现 PoC，针对 Node.js 所用 Brotli 解码器的内存破坏问题，脚本会拉取两个指定 Brotli 提交并在固定 Clang 容器中构建验证。
本事件热度走势
- 可比范围当前
- 10
- 可比范围峰值
- 1010月22日 17:00
- 近 24 小时变化
- –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。