https://x7peeps.com/tags/Node.js/index.htmlHugozh-CNMon, 26 Oct 2026 11:55:00 +0800https://x7peeps.com/%E5%AE%89%E5%85%A8/Brotli-%E8%A7%A3%E7%A0%81%E5%99%A8%E4%B8%80%E4%B8%AA%E8%B6%8A%E7%95%8C%E5%86%99Node-%E5%92%8C-Python-%E5%90%8C%E6%97%B6%E4%B8%AD%E6%8B%9BCVE-2026-111497-%E5%A4%8D%E7%9B%98/index.htmlMon, 26 Oct 2026 11:55:00 +0800https://x7peeps.com/%E5%AE%89%E5%85%A8/Brotli-%E8%A7%A3%E7%A0%81%E5%99%A8%E4%B8%80%E4%B8%AA%E8%B6%8A%E7%95%8C%E5%86%99Node-%E5%92%8C-Python-%E5%90%8C%E6%97%B6%E4%B8%AD%E6%8B%9BCVE-2026-111497-%E5%A4%8D%E7%9B%98/index.htmlBrotli 解码器一个越界写，Node 和 Python 同时中招：CVE-2026-111497 复盘 2026 年 10 月 21 日，Node.js 项目发布 26.x、24.x、22.x 三条线的安全版本，最高严重等级为 HIGH。同期安全厂商 Aikido 披露了一个此前未被识别的 Brotli 解码器缺陷 CVE-2026-111497，CVSS v4.0 评分 9.2。几天之内，Python 生态确认中招——PyPI 上的 Brotli 和 brotlicffi 两个包编译了同一份有问题的解码器代码。Aikido 在梳理各语言修复情况时，把这个跨语言的问题统称为 HTTP2Shell。