Node.js : dix failles corrigées, dont une exécution de code via Brotli
Le 21 octobre 2026, le projet Node.js a publié des mises à jour pour ses branches 22.x, 24.x et 26.x. Le bulletin recense dix vulnérabilités, dont quatre classées de gravité élevée par le projet.
Parmi elles, CVE-2026-111497 concerne le décodeur Brotli, utilisé pour décompresser des données. Une écriture en dehors des limites de mémoire peut permettre une exécution de code à distance. L’exposition dépend notamment du traitement de données compressées provenant d’une source non fiable : la présence de Node.js ne suffit donc pas à caractériser le risque d’une application.
Les versions correctives sont Node.js 22.23.4, 24.22.1 et 26.12.1. Les responsables doivent mettre à jour la branche utilisée et vérifier également les environnements de déploiement qui embarquent leur propre exécutable Node.js.
Le même bulletin corrige des problèmes de résolution DNS, de vérification du nom d’hôte dans les certificats TLS et du modèle de permissions. Il inclut aussi plusieurs mises à jour de dépendances.
Node.js rappelle que les branches arrivées en fin de vie restent exposées aux problèmes de sécurité. Une migration vers une version maintenue est nécessaire pour bénéficier des correctifs. Le bulletin consulté n’atteste pas d’une exploitation malveillante effective de la faille Brotli.
Sources :
