开源 JavaScript 运行时 Node.js 在 10 月 21 日针对 26.x、24.x 和 22.x 三条主力版本线同步发布安全更新，累计修复 10 余个安全漏洞，其中 4 个被评为高危，官方建议用户尽快升级。
最受关注的一处缺陷位于 Brotli 解码器：该组件在特定情况下可能发生越界写入，进而导致远程代码执行。攻击者可借此在目标服务器上执行任意代码，是本轮更新中危险性最高的问题。
其余漏洞由多名外部研究员与核心维护者协作修复，涉及权限校验、请求处理等多个模块，绝大多数同时影响三条版本线。官方已同步放出三个修复版本：v22.23.4、v24.22.1 与 v26.12.1，分别对应各版本线。
Node.js 被大量 Web 服务与构建工具链依赖，长期停留在旧版本的服务端环境暴露面会随漏洞细节公开逐步扩大。管理员应通过官方渠道获取对应版本安装包完成升级，这是继 PHP2Shell 之后本月又一次值得警惕的服务端安全事件。
评论（0）
暂无评论