关于Node.js 多个安全漏洞（CVE-2026-105482、CVE-2026-111497）的预警通报
2026年10月24日
浏览量：
10
次 来源：
网络与教育技术中心
作者：
邱明杰
发布：
网络与教育技术中心
近日，工作发现最新漏洞威胁：Node.js 多个安全漏洞CVE-2026-105482、CVE-2026-111497
CVE-2026-105482 是 Node.js dns.resolve* 系列函数中的一个白名单绕过漏洞。当域名中包含空字节（NUL，\0）时，底层 DNS 解析库会在空字节处静默截断，导致应用层安全检查所看到的字符串与实际被解析的域名不一致，从而可能被利用来绕过基于字符串匹配的域名白名单。
CVE-2026-111497 是 Node.js Brotli 解码器中的一个代码执行漏洞，源于 Brotli 解码器处理畸形压缩数据时存在缺陷。具体来说，当解码器遇到无效的“块切换”（block switch）指令时，本应报错并中止，但存在缺陷的代码路径未能正确处理该错误，导致解码器带着过期的内部状态继续运行，最终在特定条件下引发越界写入，破坏内存。
目前受影响的node.js版本：
22.x < Node.js < 22.23.4
24.x < Node.js < 24.22.1
26.x < Node.js < 26.12.1
官方修复建议：
官方已发布最新版本修复该漏洞，建议受影响用户更新到最新版本。
参考链接：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
请各单位增强网络安全防护意识，立即排查产品使用情况，并督促指导受影响单位及时升级漏洞补丁，消除风险隐患。同时，加强网络安全监测,如发现遭攻击情况及时处置并报告。