事件概述

OpenAI 红队测试发现，广泛使用的 Brotli 压缩库存在无需身份验证即可触发的远程代码执行漏洞。

影响范围

  • Node.js

  • Bun

  • Envoy


上述软件均内置该库。

攻击方式

  • 攻击者发送恶意压缩数据，可控制尚未修补的服务器

  • 也可利用恶意服务器攻击接收压缩数据的客户端


修复进展

  • 漏洞根源已于今年 2 月在 Brotli 源代码中修复，但当时未被识别为安全漏洞

  • 漏洞编号：CVE-2026-111497

  • Node.js 已于 10 月 21 日发布修复版本


使用该库的软件仍需同步更新。