Node.js تصدر تحديثات أمنية لإصلاح 10 ثغرات

أصدرت Node.js تحديثات أمنية في 21 أكتوبر 2026 (بتوقيت UTC) حملت الأرقام v22.23.4 وv24.22.1 وv26.12.1، حسب ما أوردته forest.watch.impress.co.jp. وتعالج التحديثات 10 ثغرات في المجموع: 10 في فرع v26 و8 في v24 و7 في v22، موزعة على 4 ثغرات عالية الخطورة و3 متوسطة و3 منخفضة.

أبرز الثغرات هي CVE-2026-111497، وهي كتابة خارج الحدود في وحدة فك ترميز Brotli المدمجة في Node.js، ما قد يسمح بتنفيذ تعليمات عن بُعد. كما تشمل الثغرات عالية الخطورة CVE-2026-105482 حيث يقوم dns.resolve باقتطاع الأسماء التي تحتوي على محرف NUL، وCVE-2026-105483 وهي تجاوز لاسم المضيف في شهادات TLS عند كتابة عنوان IP بأرقام كاملة العرض وتؤثر في v26 وv24، إضافة إلى CVE-2026-106069 المتعلقة بتجاوز اسم المضيف عندما يُحلّ العنوان بشكل غير صارم إلى عنوان IP.

وتضم القائمة ثلاث ثغرات متوسطة الخطورة: CVE-2026-105481 المتعلقة بمقبس اتصال دائم (keep-alive) حيث تتم معالجة استجابة كُتبت قبل إرسال الطلب، وCVE-2026-106072 بشأن تحقق غير سليم من الشهادات لأسماء مضيفين IPv4 غير قياسية تسمح لسجلات DNS SAN بتوثيق نقاط نهاية IP، وCVE-2026-106074 حيث تُحفظ ذاكرات التشتت العشوائي الخاصة بـ crypto.randomUUID() وrandomInt() في لقطات بدء التشغيل وSEAs فتتكرر القيم نفسها.

أما الثغرات منخفضة الخطورة فتشمل CVE-2026-106070 في ZipFile حيث تُعاد بايتات بادئة يتحكم بها المهاجم بعد فشل التحقق من ترويسة ZIP (في v26 فقط)، وCVE-2026-106071 المتعلقة بمنح مفرط لصلاحيات نظام الملفات في نموذج الأذونات عبر بحث radix بعلامة بدل (v26 فقط)، وCVE-2026-106073 وهي تجاوز لنموذج الأذونات باستخدام fs.realpathSync.

إلى جانب الثغرات، حدّثت Node.js عدداً من التبعيات: c-ares 1.34.9 وca-cert وOpenSSL 3.5.9 وSQLite 3.53.4 وundici 8.12.2/7.30.1/6.29.1. ويعالج تحديث ca-cert اختراق سلطة شهادات وسيطة تابعة لـ eMudhra. وأوضحت Node.js أن التحديث جرى كما كان معلناً مسبقاً.