Node.js repară zece vulnerabilități în versiunile 22, 24 și 26

Pe 21 octombrie 2026, proiectul Node.js a lansat actualizări de securitate pentru cele trei linii suportate: 22.23.4, 24.22.1 și 26.12.1. Împreună repară zece vulnerabilități, dintre care patru de gravitate mare.

Cele mai grave

• O scriere în afara limitelor în decodorul Brotli, care poate permite rularea de cod de la distanță (CVE-2026-111497).
• Două ocolișuri ale verificării că un certificat TLS se potrivește cu numele serverului: o adresă IP scrisă cu cifre de lățime dublă (CVE-2026-105483) și un nume de gazdă care se rezolvă aproximativ la o adresă IP (CVE-2026-106069).
• dns.resolve care taie un nume la un caracter NUL (CVE-2026-105482).

Versiunile noi actualizează și componentele incluse, printre ele c-ares, undici și OpenSSL, precum și lista de certificate rădăcină, ca urmare a compromiterii unei autorități de certificare intermediare eMudhra.

Cine trebuie să actualizeze

Oricine rulează Node.js: servere, API-uri, site-uri randate pe server și mașini de build. Node.js 20 și 25 au ajuns la sfârșitul vieții și nu primesc remediere, așa că tot ce rulează încă pe ele ar trebui mutat pe 22, 24 sau 26.

Cum stăm noi

Serverele aplicațiilor noastre sunt scrise în Python, iar site-urile noastre sunt fișiere statice, deci niciunul dintre produsele noastre nu rulează un server Node.js. Folosim Node.js doar ca unealtă de build pe propriile calculatoare și l-am actualizat la 22.23.4 și 24.22.1 în aceeași zi.

Sursa: actualizările de securitate Node.js, 21 octombrie 2026 (în engleză).