Um pesquisador demonstrou um exploit de execução remota de código (RCE) em um build oficial do Node.js utilizando dados Brotli crafted. A falha, rastreada como CVE-2026-111497, permite que dados comprimidos maliciosos corrompam a memória de um programa.
Detalhes Técnicos
A falha ocorre no decodificador Brotli do Google.
Afeta Node.js, Bun, pacotes Python Brotli e brotlicffi, e proxies Envoy configurados para descompactar Brotli.
Permite que dados comprimidos maliciosos sobrescrevam além do fim de um buffer e corrompam a memória de um programa.
Ações Recomendadas
Atualizar o Node.js e outros softwares afetados para versões corrigidas.
Implementar medidas de segurança para validar dados comprimidos Brotli.
Monitorar sistemas para detectar possíveis ataques.
