Node.js发布安全更新 修复10个漏洞
Node.js于10月21日发布v22.23.4、v24.22.1和v26.12.1安全更新，修复10个漏洞并更新多项依赖组件。
据forest.watch.impress.co.jp报道，Node.js于10月21日（UTC）发布安全更新，版本分别为v22.23.4、v24.22.1和v26.12.1，共修复10个漏洞。
按严重程度划分，10个漏洞中包括4个高危、3个中危和3个低危。其中，CVE-2026-111497为Node.js Brotli解码器中的越界写入漏洞，可能导致远程代码执行。CVE-2026-105482涉及dns.resolve对含NUL字符的名称进行截断，同样被列为高危。CVE-2026-105483和CVE-2026-106069均为TLS证书主机名绕过问题，前者在IP地址以全角数字书写时触发，影响v26和v24版本。
中危漏洞包括：keep-alive套接字问题（CVE-2026-105481），即在请求发送前写入的响应被处理；非规范IPv4主机名的证书验证不当（CVE-2026-106072）；以及crypto.randomUUID()和randomInt()的熵缓存被写入用户态启动快照与SEA、导致重复相同取值（CVE-2026-106074）。低危漏洞包括ZipFile在ZIP头验证失败后返回攻击者可控前缀字节、权限模型通过通配符基数查找造成文件系统过度授权（以上两项仅影响v26），以及fs.realpathSync导致的权限模型绕过。
此次更新还升级了多项依赖：c-ares 1.34.9、ca-cert、OpenSSL 3.5.9、SQLite 3.53.4，以及undici 8.12.2/7.30.1/6.29.1。其中ca-cert更新针对eMudhra中间证书颁发机构被攻破一事。
各版本修复数量有所不同：v26线修复10个，v24线修复8个，v22线修复7个。此次更新按此前公布的计划实施。
快速问答
Node.js本次发布了哪些版本？
10月21日（UTC）发布了v22.23.4、v24.22.1和v26.12.1三个版本。
这次更新修复了多少个漏洞？
共修复10个漏洞，其中4个高危、3个中危、3个低危；按版本计，v26线10个、v24线8个、v22线7个。
ca-cert更新与什么有关？
该更新针对eMudhra中间证书颁发机构被攻破的问题。