Google Brotli解码器曝出严重内存损坏漏洞，影响Node.js、Python、Bun、Envoy等主流软件，Imperva已证明可在Node.js上远程代码执行，你的应用可能正在解压恶意数据。

IT之家 10 月 21 日消息，开源 JavaScript 运行时环境 Node.js 今日针对 6.x、24.x 和 22.x 系列版本发布安全更新，修复 10 余个安全漏洞，包含 4 个高危漏洞。 IT之家附本次更新修复漏洞如下： ...

10月21日，开源Java运行时环境Node.js发布了针对26.x、24.x和22.x三个系列版本的安全更新。此次更新累计修复了超过10个安全漏洞，其中包括4个被标记为高危级别的漏洞。官方强烈建议所有用户尽快进行升级。 这些更新覆盖了三条主要的版本线，其中大多数漏洞影响到了26.x、24.x以及22.x系列。在修复的漏洞中，最为严重的一个位于Brotli解码器模块，在特定条件下可能导致越界写入， ...

在广泛应用于网站及服务器开发的Node.js中，发现了一个高风险漏洞。当处理攻击者精心构造的Brotli压缩数据时，该漏洞可能导致远程代码执行。Node.js项目组已针对受影响的22、24及26版本发布了安全补丁，国内安全行业也已展开紧急响应。

IT时代网10月21日消息，开源JavaScript运行时环境Node.js今日针对26.x、24.x和22.x三个系列版本发布安全更新，累计修复10余个安全漏洞，其中4个为高危漏洞，官方建议用户尽快升级。本次更新覆盖三条主力版本线，绝大多数漏洞同时影响26.x、24.x和22.x。其中最受关注的一处缺陷位于Brotli解码器，该组件在特定情况下可能发生 ...

10月21日晚间，Railway 检测到存储客户环境变量的系统出现异常活动。初步调查显示，未经授权的第三方可能访问了加密的环境变量，并获取了部分变量的解密后明文内容。这些变量通常存放 API 密钥、数据库密码和私有镜像仓库凭证，对于许多使用 Railway 部署 AI 应用的开发者而言，这意味着 Stripe、OpenAI、Anthropic 等服务的密钥可能已经外泄。

快科技10月22日消息，全球互联网基础设施遭遇连环安全冲击，先是印度大型数字证书认证机构eMudhra曝出私钥事故，随后PHP曝出隐藏10年的高危漏洞，Node.js也发布了最高严重级别安全更新。印度CA ...

全球70%网站使用的编程语言“PHP”之后，主要网络服务运行工具“Node.js”也被曝存在致命安全漏洞。黑客无需密码，仅发送一个经过构造的压缩文件，即可远程控制服务器。

根据OpenAI和Patch the Planet的数据，Brotli库的一个漏洞使得通过恶意压缩数据实现未经认证的远程代码执行，促使新的Brotli发布、发布CVE以及Node.js和Bun等项目的下游安全更新。 OpenAI 利用人工智能代理进行的红队行动发现了 Brotli 压缩库中未认证的远程代码执行漏洞，该库被 Node.js、Bun 和 Envoy 等软件所包含。该漏洞允许攻击者通过发 ...

观点网讯：10月21日，多款主流开发工具与企业软件集中披露高危漏洞并发布修复补丁。 PHP官方发布补丁，修复两个无需账号密码即可远程控制服务器的漏洞，影响PHP 5.4到8.5.11的几乎所有版本。PHP 8.1及更早版本官方不再提供修复。