Edizione: Dev

Node.js corregge Brotli e i controlli dei certificati TLS

Gli aggiornamenti di sicurezza del 21 ottobre portano Node.js a 22.23.4, 24.22.1 e 26.12.1. Tra le falle ad alta gravità, il decoder Brotli può consentire esecuzione remota di codice.

22/10/2026

Che succede

Il giro di patch di Node.js del 21 ottobre riguarda anche operazioni quotidiane come decomprimere dati e verificare a quale server appartiene un certificato TLS. Sono disponibili le versioni 22.23.4, 24.22.1 e 26.12.1, per tutte e tre le linee supportate coinvolte.

La falla nel decoder Brotli, CVE-2026-111497, può provocare una scrittura fuori dai limiti della memoria e consentire esecuzione remota di codice. È classificata ad alta gravità e interessa le linee 22, 24 e 26. L’esposizione concreta dipende da come l’applicazione usa il decoder e dai dati che gli arrivano.

Il bollettino corregge inoltre diversi aggiramenti della verifica dei nomi nei certificati TLS, con un problema legato agli indirizzi IP scritti usando cifre a larghezza intera limitato alle linee 24 e 26. Gli aggiornamenti includono anche dipendenze come c-ares e Undici. Si tratta di aggiornamenti del runtime, non soltanto delle librerie aggiunte dal singolo progetto.

Perché conta

Brotli e la verifica dei certificati fanno parte dell’infrastruttura che un’applicazione usa senza riscriverla. Qui il codice da correggere è nel runtime: aggiornare soltanto i pacchetti del progetto lascia fuori il componente interessato.

Leggi la fonte

Node.js — bollettino di sicurezza

Vuoi sapere di più su pillole come questa?

Nella stessa edizione

Dev