核心是 Brotli 解码器的越界写漏洞 CVE-2026-111497（也叫 Node2Shell / HTTP2Shell），CVSS 9.2 分；Imperva 已在 Node.js 24.22.0 官方构建上实证可远程执行代码，影响不只 Node，还波及 Python 的 brotli / brotlicffi 包和 Bun 1.4.4 以下版本。目前没发现野外利用，但补丁两天前就出了：Node 升到 22.23.4 / 24.22.1 / 26.12.1，Brotli 升到 1.2.1。
来源： https://www.aikido.dev/blog/pyth ... tli-cve-2026-111497
|
