Node.js corrige falha no Brotli após prova de execução remota

O Node.js publicou atualizações de segurança em 21 de outubro que corrigem dez vulnerabilidades e incluem as builds 22.23.4, 24.22.1 e 26.12.1 para tratar uma falha no decodificador Brotli.

O problema, registrado como CVE-2026-111497, é uma escrita fora dos limites (out-of-bounds write) no decodificador C do Brotli fornecido com o Node.js. Entradas comprimidas especialmente criadas podem acionar o erro e levar à execução remota de código (RCE).

Código de prova de conceito público inicialmente conseguiu execução apenas em uma build de teste enfraquecida. Pesquisadores da Imperva depois demonstraram execução remota contra uma imagem oficial 24.22.0 Linux arm64 enquanto relatavam não haver sinais de exploração em larga escala.

Qualquer software que inclua o mesmo decodificador Brotli está em risco. A falha pode ser explorada quando o Node.js descomprime automaticamente respostas Brotli via fetch() ou quando middlewares de servidor decodificam corpos Brotli em requisições — por exemplo, Express 5 com body-parser.

Não existe uma solução temporária em tempo de execução; equipes precisam atualizar todos os binários Node fixados, imagens de contêiner, artefatos de CI e runtimes serverless. Alguns provedores aplicaram regras de firewall que reduzem parcialmente o risco. Versões com fim de vida, como Node 20.x e anteriores, não receberão correções.