请立即更新：Node.js 发布最高严重级别高危安全更新 - 牌九玩法介绍

IT之家 10 月 21 日消息，开源 JavaScript 运行时环境 Node.js 于今日针对 26.x、24.x 和 22.x 系列版本推送了安全更新，解决了超过 10 个安全问题，其中 4 个被标记为高危。

IT之家将本次更新所修复的漏洞列举如下：

dns.resolve 在处理包含 NUL 字符的域名时出现截断问题（CVE-2026-105482）—— 高危

此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 hasanfleyah 报告此问题，并由 jasnell 完成修复工作。

使用全角数字表示 IP 地址可绕过 TLS 证书主机名验证（CVE-2026-105483）—— 高危

此漏洞波及 Node.js 26.x 和 24.x 版本。 感谢 hasanfleyah 报告此问题，并由 jasnell 完成修复工作。

主机名通过宽松解析可被解析为 IP 地址时，可绕过 TLS 证书主机名验证（CVE-2026-106069）—— 高危

此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 anagnorisis2peripeteia 报告此问题，并由 mcollina 完成修复工作。

Node.js 的 Brotli 解码器存在越界写入漏洞，可能导致远程代码执行（CVE-2026-111497）—— 高危

Node.js 中存在一个缺陷，其 Brotli 解码器可能发生越界写入行为，进而引发远程代码执行。 此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 mcollina 报告此问题，并由 aduh95 完成修复工作。

Keep-alive 套接字会处理在请求发送前就已写入的响应（CVE-2026-105481）—— 中危

此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 hasanfleyah 报告此问题，并由 jasnell 完成修复工作。

对非标准 IPv4 主机名的证书验证错误，导致 DNS SAN 可用于验证 IP 端点（CVE-2026-106072）—— 中危

此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 br41ny 报告此问题，并由 mcollina 完成修复工作。

crypto.randomUUID() 和 randomInt() 的熵缓存被保存至用户态启动快照和 SEA 中，导致每个进程重复生成相同值（CVE-2026-106074）—— 中危

此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 gesposito 报告此问题，并由 panva 完成修复工作。

Node.js 的 ZipFile 在 ZIP 文件头验证失败后，仍会返回由攻击者控制的前缀字节（CVE-2026-106070）—— 低危

此漏洞波及 Node.js 26.x 版本。 感谢 startimeash 报告此问题，并由 mcollina 完成修复工作。

权限模型通过通配符基数查找机制授予过多文件系统权限（CVE-2026-106071）—— 低危

此漏洞波及 Node.js 26.x 版本。 感谢 malikhamzaiqbal 报告此问题，并由 jasnell 完成修复工作。

可通过 fs.realpathSync 绕过权限模型（CVE-2026-106073）—— 低危

此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 0xoroot 报告此问题，并由 RafaelGSS 完成修复工作。

下载地址：

• Node.js v22.23.4
• Node.js v24.22.1
• Node.js v26.12.1