公司

IT之家 10 月 21 日报道，开源 JavaScript 运行时环境 Node.js 今日为其 26.x、24.x 及 22.x 系列版本发布了安全补丁，修复了超过 10 个安全缺陷，其中 4 个被列为高危级别。

本次更新所修复的漏洞详情如下：

dns.resolve 在处理包含 NUL 字符的域名时发生截断（CVE-2026-105482）—— 高危

该问题存在于 Node.js 26.x、24.x 及 22.x 版本。感谢 hasanfleyah 发现此漏洞，并由 jasnell 完成修复。

使用全角数字表示 IP 地址可绕过 TLS 证书主机名验证（CVE-2026-105483）—— 高危

该问题仅在 Node.js 26.x 及 24.x 版本中出现。感谢 hasanfleyah 提交报告，修复工作由 jasnell 负责。

通过宽松解析使主机名被解释为 IP 地址可绕过 TLS 证书主机名验证（CVE-2026-106069）—— 高危

该问题波及 Node.js 26.x、24.x 及 22.x 版本。感谢 anagnorisis2peripeteia 发现此漏洞，并由 mcollina 完成修复。

Node.js Brotli 解码器存在越界写入，可能触发远程代码执行（CVE-2026-111497）—— 高危

Node.js 中存在一个缺陷，其 Brotli 解码器可能出现越界写入，进而导致远程代码执行。该问题影响 Node.js 26.x、24.x 及 22.x 版本。感谢 mcollina 提交报告，修复工作由 aduh95 完成。

Keep-alive 套接字处理了请求发送前已写入的响应（CVE-2026-105481）—— 中危

该问题影响 Node.js 26.x、24.x 及 22.x 版本。感谢 hasanfleyah 发现此漏洞，并由 jasnell 完成修复。

对非标准 IPv4 主机名的证书验证不当，导致 DNS SAN 可用于验证 IP 端点（CVE-2026-106072）—— 中危

该问题影响 Node.js 26.x、24.x 及 22.x 版本。感谢 br41ny 提交报告，修复工作由 mcollina 负责。

crypto.randomUUID () 与 randomInt () 的熵缓存被存储至用户态启动快照及 SEA，导致同一进程内重复生成相同值（CVE-2026-106074）—— 中危

该问题影响 Node.js 26.x、24.x 及 22.x 版本。感谢 gesposito 发现此漏洞，并由 panva 完成修复。

Node.js ZipFile 在 ZIP 文件头验证失败后，仍会返回攻击者控制的前缀字节（CVE-2026-106070）—— 低危

该问题仅影响 Node.js 26.x 版本。感谢 startimeash 提交报告，修复工作由 mcollina 负责。

权限模型通过通配符基数查找机制授予过多文件系统权限（CVE-2026-106071）—— 低危

该问题仅影响 Node.js 26.x 版本。感谢 malikhamzaiqbal 发现此漏洞，并由 jasnell 完成修复。

通过 fs.realpathSync 可绕过权限模型（CVE-2026-106073）—— 低危

该问题影响 Node.js 26.x、24.x 及 22.x 版本。感谢 0xoroot 提交报告，修复工作由 RafaelGSS 负责。

下载链接：

• Node.js v22.23.4
• Node.js v24.22.1
• Node.js v26.12.1