В Node.js выявлена критическая уязвимость с рейтингом 9.8: выход за границы буфера в декодере Brotli позволяет удалённо выполнить код в ветках 22.x, 24.x и 26.x; есть и другие CVE.
Мнение эксперта
- Node.js в России ставят почти всегда из upstream-репозиториев, поэтому отечественные сборки от этой уязвимости не защищают и патч придётся ставить самостоятельно.
- Интегратору нужно провести инвентаризацию версий 22/24/26 в клиентских сервисах и заложить регламент обновления — иначе RCE 9.8 станет входной точкой для атак.
- Для заказчиков под требованиями КИИ и ГОСТ это повод зафиксировать в договорах поддержки жёсткие сроки устранения критических CVE.
