Bug in Node.js maakte op afstand uitvoeren van code mogelijk

In dit artikel:

Node.js heeft beveiligingsupdates uitgebracht voor CVE-2026-111497, een kwetsbaarheid in de Brotli-decoder. Een aanvaller kan zonder inloggegevens een bufferoverloop veroorzaken, waardoor geheugeninformatie kan uitlekken, systemen kunnen uitvallen en in het zwaarste scenario code op afstand kan worden uitgevoerd. Onderzoekers van Aikido ontdekten het probleem; inmiddels is ook een demonstratie van de aanval gepubliceerd. De fout kwam voor in Node.js-versies 22.x, 24.x en 26.x. Oplossingen zijn beschikbaar in respectievelijk 22.23.4, 24.11.1 en 26.12.1. Het NCSC beoordeelt de waarschijnlijkheid van misbruik als gemiddeld, maar verwacht bij succesvolle aanvallen grote schade. De instantie adviseert gebruikers de updates snel te installeren. Versies 20.x, 23.x en 25.x zijn verouderd en ontvangen geen patches meer.