Zespół Node.js opublikował aktualizacje dla trzech wspieranych linii wydawniczych: 22.x, 24.x oraz 26.x. Najpoważniejszym problemem jest błąd typu out-of-bounds write w dołączonym do środowiska dekoderze Brotli. Luka ta może zostać wykorzystana do zdalnego wykonania kodu poprzez przesłanie złośliwie sformatowanych danych skompresowanych, np. w treści żądania HTTP lub w odpowiedzi pobieranej przez funkcję fetch().
Oprócz błędu Brotli, poprawki eliminują inne istotne podatności, w tym luki w weryfikacji certyfikatów TLS oraz problem z funkcjami crypto.randomUUID() i crypto.randomInt() w aplikacjach typu single-executable. Aktualizacja obejmuje również usunięcie skompromitowanych kluczy certyfikatów indyjskiego dostawcy eMudhra oraz odświeżenie bibliotek takich jak undici, c-ares, OpenSSL i SQLite.
Użytkownicy powinni niezwłocznie zaktualizować Node.js do wersji 22.23.4, 24.22.1 lub 26.12.1. W przypadku starszych wersji (20.x i wcześniejszych), które osiągnęły koniec wsparcia, konieczna jest migracja na nowsze linie wydawnicze, gdyż nie otrzymają one łatek bezpieczeństwa. Obecnie nie istnieje alternatywne obejście problemu Brotli wewnątrz samego środowiska Node.js.
