| CVE編號 | CVE-2026-105482,CVE-2026-105483,CVE-2026-106069,CVE-2026-111497 |
|---|---|
| 影響產品 | Node.js |
| 解決辦法 | 官方已針對漏洞釋出修補或更新，請參考官方說明進行處置 |
| 張貼日 | 2026-10-22 |
| 上稿單位 | TWCERT/CC |
- 內容說明：
研究人員發現 Node.js 存在4個重大資安漏洞（CVE-2026-105482、CVE-2026-105483、CVE-2026-106069及CVE-2026-111497），類型包含空字元輸入驗證不足、TLS憑證主機名稱檢查繞過(TLS Certificate Hostname Bypass)及越界寫入(Out-of-Bounds Write)，請儘速確認並進行處置。
【CVE-2026-105482】
dns.resolve函式處理含NUL字元之名稱時，會將名稱截斷。
【CVE-2026-105483】
Node.js 24.x與26.x版本中，當IP位址以全形書寫時，攻擊者可繞過TLS憑證之主機名稱檢查。
【CVE-2026-106069】
當主機名稱為非標準格式之IP位址時，攻擊者可繞過TLS憑證之主機名稱檢查。
【CVE-2026-111497】
Brotli解碼器存在越界寫入缺陷，可導致遠端執行程式碼。
- 影響平台：
Node.js 22.0.0至22.23.4(不含)版本
Node.js 24.0.0至24.22.1(不含)版本
Node.js 26.0.0至26.12.1(不含)版本