请立即更新：Node.js 发布最高严重级别高危安全更新

IT之家 10 月 21 日消息，开源 JavaScript 运行时环境 Node.js 今天向 26.x、24.x 和 22.x 系列版本推送了安全补丁，修复了超过 10 个安全缺陷，其中 4 个被列为高危。

IT之家列出此次更新修复的漏洞详情如下：

dns.resolve 会截断包含 NUL 字符的域名（CVE-2026-105482）—— 高危

此漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 hasanfleyah 的提交，以及 jasnell 对该问题的修复。

当 IP 地址使用全角数字表示时，可绕过 TLS 证书主机名验证（CVE-2026-105483）—— 高危

该漏洞影响 Node.js 26.x 和 24.x。

感谢 hasanfleyah 的提交，以及 jasnell 对该问题的修复。

当主机名通过宽松解析可被解析为 IP 地址时，可绕过 TLS 证书主机名验证（CVE-2026-106069）—— 高危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 anagnorisis2peripeteia 的提交，以及 mcollina 对该问题的修复。

Node.js Brotli 解码器存在越界写入漏洞，可导致远程代码执行（CVE-2026-111497）—— 高危

Node.js 存在一个缺陷，其 Brotli 解码器可能发生越界写入，从而引发远程代码执行。

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 mcollina 的提交，以及 aduh95 对该问题的修复。

Keep-alive 套接字会处理在请求发送前就已写入的响应（CVE-2026-105481）—— 中危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 hasanfleyah 提交此漏洞，以及 jasnell 对该问题的修复。

对非规范 IPv4 主机名的证书验证不正确，导致 DNS SAN 可用于验证 IP 端点（CVE-2026-106072）—— 中危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 br41ny 提交此漏洞，以及 mcollina 对该问题的修复。

crypto.randomUUID () 和 randomInt () 的熵缓存被保存到用户态启动快照和 SEA 中，导致每个进程重复生成相同的值（CVE-2026-106074）—— 中危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 gesposito 提交此漏洞，以及 panva 对该问题的修复。

Node.js ZipFile 在 ZIP 文件头验证失败后仍会返回由攻击者控制的前缀字节（CVE-2026-106070）—— 低危

该漏洞影响 Node.js 26.x。

感谢 startimeash 提交此漏洞，以及 mcollina 对该问题的修复。

权限模型通过通配符基数查找机制授予过多文件系统权限（CVE-2026-106071）—— 低危

该漏洞影响 Node.js 26.x。

感谢 malikhamzaiqbal 提交此漏洞，以及 jasnell 对该问题的修复。

可通过 fs.realpathSync 绕过权限模型（CVE-2026-106073）—— 低危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 0xoroot 提交此漏洞，以及 RafaelGSS 对该问题的修复。

用户可通过九游网页版登录入口访问官方资源，获取最新安全信息。下载链接：

• Node.js v22.23.4
• Node.js v24.22.1
• Node.js v26.12.1