Badacze pokazują exploit Node2Shell umożliwiający zdalne wykonanie kodu w Node.js poprzez zmanipulowane dane Brotli
Zmanipulowane dane Brotli mogą pozwolić na wykonanie dowolnego kodu w oficjalnych wersjach Node.js. Badacze z Imperva zaprezentowali dowód koncepcji Node2Shell.
Naprawa została wprowadzona w wersji 24.22.1 i polega na zaimportowaniu poprawki do dekodera, która przerywa proces przy wykryciu błędu formatu. Wersje 20.x i starsze nie otrzymają łatek, dlatego wymagają migracji na nowsze, wspierane wersje środowiska.
