请立即更新：Node.js 发布最高严重级别高危安全更

10 月 21 日消息，开源 JavaScript 运行时环境 Node.js 今日针对 26.x、24.x 和 22.x 系列版本发布安全更新，修复 10 余个安全漏洞，包含 4 个高危漏洞。

附本次更新修复漏洞如下：

dns.resolve 会截断包含 NUL 字符的域名（CVE-2026-105482）—— 高危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 hasanfleyah 的报告，并感谢 jasnell 修复该问题。

当 IP 地址使用全角数字表示时，可绕过 TLS 证书主机名验证（CVE-2026-105483）—— 高危

该漏洞影响 Node.js 26.x 和 24.x。

感谢 hasanfleyah 的报告，并感谢 jasnell 修复该问题。

当主机名通过宽松解析可被解析为 IP 地址时，可绕过 TLS 证书主机名验证（CVE-2026-106069）—— 高危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 anagnorisis2peripeteia 的报告，并感谢 mcollina 修复该问题。

Node.js Brotli 解码器存在越界写入漏洞，可导致远程代码执行（CVE-2026-111497）—— 高危

Node.js 存在一项缺陷，其 Brotli 解码器可能发生越界写入，从而导致远程代码执行。

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 mcollina 的报告，并感谢 aduh95 修复该问题。

Keep-alive 套接字会处理在请求发送前就已写入的响应（CVE-2026-105481）—— 中危

该漏洞影响 Node.js 26.x、24.x 和 22.x。

感谢 hasanfleyah 报告此漏洞，并感谢 jasnell 修复该问题。

对非规范 IPv4 主机名的证书验证不正确，导致 DNS SAN 可用于验证 IP 端点（CVE-2026-106072）—— 中危