W dekoderze Brotli od Google odkryto poważną podatność (CVE-2026-111497) związaną z błędem w zarządzaniu pamięcią. Luka pozwala na nadpisanie bufora za pomocą specjalnie przygotowanych danych skompresowanych, co może skutkować awarią programu, wyciekiem danych lub zdalnym wykonaniem kodu (RCE). Badacze z Impervy udowodnili możliwość wykonania kodu w konkretnej wersji Node.js na architekturze ARM64.
Problem jest szeroki, ponieważ wiele środowisk korzysta z własnych kopii kodu dekodera Brotli. Do zagrożonych technologii należą m.in. Bun, pakiety Brotli i brotlicffi w Pythonie oraz proxy Envoy i Istio (jeśli mają włączoną dekompresję). W przypadku Pythona ryzyko występuje nawet bez bezpośredniego importowania biblioteki, ponieważ popularne klienty HTTP, takie jak requests czy httpx, mogą automatycznie dekodować odpowiedzi Brotli.
Naprawa wymaga aktualizacji konkretnych runtime'ów lub bibliotek, ponieważ same zapory sieciowe (WAF) mogą nie wystarczyć, jeśli ruch jest dekodowany już po przejściu przez zabezpieczenia. W przypadku Node.js jedynym skutecznym rozwiązaniem jest aktualizacja środowiska. W innych przypadkach zaleca się tymczasowe wyłączenie dekompresji Brotli lub odinstalowanie podatnych pakietów w Pythonie.
