91猫先生

轉發 台灣電腦網路危機處理暨協調中心 資安訊息警訊 TWCERTCC-200-202610-00000031

研究人員發現 Node.js 存在4個重大資安漏洞（CVE-2026-105482、CVE-2026-105483、CVE-2026-106069及CVE-2026-111497），類型包含空字元輸入驗證不足、TLS憑證主機名稱檢查繞過(TLS Certificate Hostname Bypass)及越界寫入(Out-of-Bounds Write)，請儘速確認並進行處置。
【CVE-2026-105482】 dns.resolve函式處理含NUL字元之名稱時，會將名稱截斷。
【CVE-2026-105483】 Node.js 24.x與26.x版本中，當IP位址以全形書寫時，攻擊者可繞過TLS憑證之主機名稱檢查。
【CVE-2026-106069】 當主機名稱為非標準格式之IP位址時，攻擊者可繞過TLS憑證之主機名稱檢查。
【CVE-2026-111497】 Brotli解碼器存在越界寫入缺陷，可導致遠端執行程式碼。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)
此讯息仅发送到「区县市网路中心」，烦请贵单位协助转发与通知辖下各单位知悉

摆影响平台:闭
Node.js 22.0.0至22.23.4(不含)版本
Node.js 24.0.0至24.22.1(不含)版本
Node.js 26.0.0至26.12.1(不含)版本

摆建议措施:闭

摆参考资料:闭
1. https://www.twcert.org.tw/tw/cp-169-11305-9b826-1.html

(此通报仅在於告知相关资讯，并非為资安事件)，如果您对此通报的内容有疑问或有关於此事件的建议，欢迎与我们连络。
教育机构资安通报应变小组
网址：丑迟迟辫蝉://颈苍蹿辞.肠别谤迟.迟补苍别迟.别诲耻.迟飞/
专线电话：07-5250211
网路电话：98400000
贰-惭补颈濒：蝉别谤惫颈肠别蔼肠别谤迟.迟补苍别迟.别诲耻.迟飞

---