https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
官方建议升级26.x、24.x 和 22.x 到最新版本以避免安全问题。
| CVE 编号 | 漏洞名称 / 描述 | 危险等级 | 影响版本 |
|---|---|---|---|
| CVE-2026-111497 | Brotli 解码器越界写入导致远程代码执行（RCE）<br>Node.js 的 Brotli 解码实现中存在越界写入（out-of-bounds write）缺陷，可能被利用实现远程代码执行。 | 高危 (High) | 26.x, 24.x, 22.x |
| CVE-2026-105482 | dns.resolve 截断含 NUL 字符的名称<br>解析包含 \0（NUL 字符）的域名时发生截断，可能引发域名解析混淆或安全策略绕过。 |
高危 (High) | 26.x, 24.x, 22.x |
| CVE-2026-105483 | 全角数字 IP 导致的 TLS 证书主机名验证绕过<br>当 IP 地址由全角数字表示时，TLS 主机名比对逻辑失效，导致证书校验绕过。 | 高危 (High) | 26.x, 24.x |
| CVE-2026-106069 | 宽松 IP 解析导致的 TLS 证书主机名绕过<br>当 Host 地址宽松匹配/解析为 IP 地址时，绕过证书主机名核验逻辑。 | 高危 (High) | 26.x, 24.x, 22.x |
| CVE-2026-105481 | Keep-alive 套接字处理提前写入的响应<br>复用套接字在当前请求发出前处理了过早到达的响应，可能引发请求混淆或数据串扰。 | 中危 (Medium) | 26.x, 24.x, 22.x |
| CVE-2026-106072 | 非规范 IPv4 主机名证书校验不当<br>证书校验机制存在缺陷，允许 DNS SAN（主题备用名称）对 IP 端点进行身份验证。 | 中危 (Medium) | 26.x, 24.x, 22.x |
| CVE-2026-106074 | 随机熵缓存写入快照及单执行文件导致随机值重复<br>crypto.randomUUID() 和 randomInt() 的熵缓存被保存至用户空间启动快照及 SEA，导致不同进程重复生成相同随机值。 |
中危 (Medium) | 26.x, 24.x, 22.x |
| CVE-2026-106070 | ZipFile 头部校验失败后返回攻击者可控的前缀字节<br>ZIP 头部校验失败后泄露攻击者可控的前缀字节，可能被用于构造利用链。 | 低危 (Low) | 26.x |
| CVE-2026-106071 | 权限模型通过通配符基数查找过度授予文件系统权限<br>使用通配符基数（wildcard radix）查找时权限控制过宽，造成文件系统权限超额下发。 | 低危 (Low) | 26.x |
| CVE-2026-106073 | 通过 fs.realpathSync 绕过权限模型<br>调用 fs.realpathSync 解析路径时未正确执行沙箱限制，导致权限模型被绕过。 |
低危 (Low) | 26.x, 24.x, 22.x |
