Node.js izstrādātāji publicējuši drošības atjauninājumus, kuros novērstas vairākas JavaScript izpildvides ievainojamības. Kopumā atjauninājumos novērstas desmit ievainojamības, no kurām četras novērtētas kā augstas bīstamības, trīs — kā vidējas un trīs — kā zemas bīstamības.
Ievainojamības skar Node.js 22.x, 24.x un 26.x versiju atzarus. Atkarībā no konkrētās ievainojamības un lietojumprogrammas konfigurācijas, tās var ļaut uzbrucējiem apiet drošības pārbaudes un piekļuves ierobežojumus, izraisīt nepareizu datu apstrādi vai attālināti izpildīt patvaļīgu kodu.
Augstas bīstamības ievainojamības identificētas ar CVE-2026-105482, CVE-2026-105483, CVE-2026-106069 un CVE-2026-111497. Papildus tām novērstas arī vairākas vidējas un zemas bīstamības ievainojamības, kas saistītas ar nepareizu datu apstrādi un citām drošības nepilnībām.
Ievainojamības novērstas Node.js versijās 22.23.4 un jaunākās, 24.22.1 un jaunākās, kā arī 26.12.1 un jaunākās. Arī Node.js versijas, kuru atbalsta periods ir beidzies (End-of-Life), var būt pakļautas drošības riskiem, jo tām vairs netiek nodrošināti regulāri drošības atjauninājumi.
Sistēmu uzturētājiem ieteicams pēc iespējas drīzāk atjaunināt Node.js uz atbilstošo drošo versiju un pārbaudīt, vai to lietojumprogrammas un atkarības ir saderīgas ar jaunākajām versijām. Īpaši būtiski tas ir publiski pieejamiem pakalpojumiem, kuros darbojas JavaScript izpildvide.
CVE papildinformācija
CVE-2026-111497 — bufera pārpildes ievainojamība Google Brotli dekodētājā (c/dec/decode.c), kas skar Brotli versijas no 1.0.3 līdz 1.2.0 visās platformās un var ļaut attālinātam neautentificētam uzbrucējam sabojāt blakus esošo dekodētāja stāvokļa atmiņu, izpaust sensitīvu atmiņas saturu, izraisīt pakalpojuma atteici vai potenciāli izpildīt patvaļīgu kodu, izmantojot īpaši veidotu Brotli saspiestu straumi. Skartā programmatūra: Google Brotli 1.0.3–1.2.0 (jāatjaunina uz 1.0.10, 1.1.1 vai 1.2.1). cve.org ieraksts
Avots: cert.lv raksts · X ieraksts
