Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Node.js vydal opravy pro podporované řady 22.x, 24.x a 26.x, které řeší zranitelnosti v Brotli dekodéru, překladu DNS a validaci TLS certifikátů. Tyto chyby představují riziko vzdáleného spuštění kódu nebo odposlechu provozu, přičemž možný dopad na své produkty prověřují například společnosti Cisco a Splunk.
Společnost Qualys upozorňuje, že oprava zranitelnosti dekodéru Brotli (CVE-2026-111497) a dalších chyb v Node.js probíhá pomalu a miliony instalací zůstávají neaktualizované. Zpráva doporučuje dočasná mitigační opatření a využití stávajících bezpečnostních nástrojů typu WAF, IPS či EDR k omezení útočných cest před provedením kompletního upgradu.
Malwarebytes varuje před nárůstem webových útoků typu ClickFix na legitimních webech a zneužíváním zranitelností v technologiích jako PHP či Node.js. Společnost doporučuje aktualizovat software, ověřovat podezřelé požadavky stránek a používat bezpečnostní rozšíření i správce hesel.
Node.js vydal opravy deseti chyb pro verze 22.x, 24.x a 26.x, z nichž nejzávažnější je zápis mimo meze v dekodéru Brotli umožňující vzdálené spuštění kódu. Další chyby se týkají například ověřování názvů hostitelů v TLS nebo ořezávání DNS dotazů a dopady zkoumá také společnost Fortinet.
Podle NCSC-NL opravila společnost Google zranitelnost v knihovně Brotli, kterou využívá mimo jiné prostředí Node.js. Neautentizovaný útočník může vzdáleně podvrhnout upravená komprimovaná data a způsobit odmítnutí služby, získat přístup k citlivým datům z paměti nebo spustit libovolný kód.
Finské centrum NCSC-FI informuje o bezpečnostních aktualizacích platformy Node.js řešících závažné zranitelnosti v několika závislostech. Vydání zahrnují aktualizace c-ares, OpenSSL, SQLite, Undici a ca-cert napříč řadami 26.x, 24.x a 22.x.
Podle CERT-FR bylo v prostředí Node.js odhaleno několik zranitelností. Některé z nich umožňují útočníkovi vzdálené spuštění libovolného kódu, obejití bezpečnostních zásad nebo vyvolání blíže nespecifikovaného bezpečnostního problému.
Zdroj uvádí, že chyba v modelu oprávnění Node.js (CVE-2026-21711) umožňuje kódu spuštěnému bez oprávnění `--allow-net` vytvářet a zveřejňovat lokální IPC endpointy, čímž obchází zamýšlená omezení síťového přístupu. Zranitelnost se týká Node.js verze 25.x s modelem oprávnění bez `--allow-net`.
Podle zdroje Node.js vyhledává moduly v adresáři C:\node_modules jako součást výchozího chování, což na Windows umožňuje uživatelům s nízkými právy vytvořit tento adresář a nasadit tam škodlivé moduly. Zranitelnost se týká aplikací s chybějícími nebo volitelnými závislostmi, včetně npm CLI (CVE-2026-0775) a desktopové aplikace Discord (CVE-2026-0776), přičemž Discord zůstává neopravený; Node.js, npm a Discord nepovažují tento vzorec za zranitelnost.
Zdroj uvádí, že zranitelnost CVE-2025-23167 v HTTP parseru Node.js 20 umožňuje útočníkům obejít proxy-based access controls prostřednictvím nesprávné terminace HTTP/1 headerů. Microsoft oznámil, že problém byl vyřešen upgradem knihovny llhttp na verzi 9.
Zdroj uvádí, že v Node.js byla identifikována zranitelnost ovlivňující uživatele experimentálního modelu oprávnění s příznakem --allow-fs-write. Model oprávnění selhává u operací na deskriptorech souborů, takže operace typu fs.fchown nebo fs.fchmod mohou využít deskriptor s omezením na čtení ke změně vlastníka a oprávnění souboru.
Podle Microsoft Security je v Node.js 20 a Node.js 21 zveřejněna zranitelnost CVE-2024-22018 v experimentálním modelu oprávnění. Flaw spočívá v tom, že příznak --allow-fs-read adekvátně neomezuje přístup k fs.lstat API, což útočníkům umožňuje získat informace o souborech bez explicitního práva čtení.