أصدر مشروع Node.js في 21 أكتوبر 2026 تحديثات أمنية عبر الإصدارات 26.12.1 و24.22.1 و22.23.4 لمعالجة عشر ثغرات متباينة، شملت أربع ثغرات عالية الخطورة وثلاث متوسطة وثلاث منخفضة. وتضمنت الإصلاحات، وفقاً لنشرة المشروع، معالجة خلل في فك ضغط Brotli يتيح للمهاجمين تنفيذ أوامر برمجية عن بعد.
وتحمل ثغرة Brotli المعرف (CVE-2026-111497)، وتتمثل في إمكانية الكتابة خارج حدود الذاكرة داخل مفكك Brotli، لتسمح بتنفيذ الأوامر عن بعد ضمن الفروع 26.x و24.x و22.x. ونفذ الإصلاح عبر نقل تعديل برمجي إلى Node.js، حيث نسبت ملاحظات الإصدار هذا التعديل إلى Evgenii Kliuchnikov، في حين لم توضح النشرة الشروط التقنية اللازمة لاستغلال الثغرة.
وطالت ثلاث ثغرات أخرى عملية التحقق من الشهادات في بروتوكول TLS. صنفت اثنتان منها بخطورة عالية، وهما الثغرة (CVE-2026-105483) التي تتيح لعنوان IP مكتوب بأرقام كاملة العرض تجاوز التحقق من اسم المضيف وتؤثر على الفرعين 26.x و24.x، والثغرة (CVE-2026-106069) التي تحدث عند قراءة Node.js لاسم المضيف كعنوان IP وتؤثر على الفروع الثلاثة. أما الثغرة الثالثة متوسطة الخطورة (CVE-2026-106072)، فتسمح لأسماء مضيفين IPv4 غير قياسية لشهادة تحمل اسم DNS بمصادقة نقطة اتصال باستخدام عنوان IP.
فيما يتعلق بنظام أسماء النطاقات، تتسبب الدالة dns.resolve في اقتطاع الأسماء التي تحتوي على حرف NUL عبر الثغرة (CVE-2026-105482) المؤثرة على كافة الفروع. كما برزت ثغرتان متوسطتا الخطورة، تتعلق الأولى بمعالجة مقبس الاتصال المستمر لاستجابة وردت قبل إرسال الطلب (CVE-2026-105481)، وترتبط الثانية بتكرار القيم ذاتها في دالتي crypto.randomUUID() وcrypto.randomInt() داخل لقطات بدء التشغيل والتطبيقات التنفيذية المفردة (CVE-2026-106074).
توزعت الثغرات الثلاث منخفضة الخطورة بين معالجة ملفات ZIP ونموذج الأذونات، حيث شملت إرجاع بيانات يتحكم بها المهاجم إثر فشل فحص ترويسة ZIP عبر الثغرة (CVE-2026-106070)، ومنح وصول يتجاوز الصلاحيات إلى نظام الملفات من خلال مطابقة أحرف البدل (CVE-2026-106071)، وكلاهما يؤثر على الفرع 26.x. أما الثغرة الأخيرة (CVE-2026-106073) فتتجاوز فحوص النموذج عبر fs.realpathSync وتطال الفروع الثلاثة.
وتضمنت التحديثات الجديدة ترقيات لمكتبات c-ares وUndici وشهادات الجذر (NSS 3.131.1). وأدرجت النشرة ضمن تبعيات التحديث بنداً يحمل اسم eMudhra Intermediate CA Compromise، والذي يتطابق مع حادثة اختراق مفاتيح شهادات وسيطة لدى eMudhra، رغم عدم توضيح الصلة المباشرة بين هذا البند وتحديث الجذور. وأكدت ملاحظات الإصدار 26.12.1 أن خوادم Node.js أصبحت ترفض سلاسل الشهادات التي تتضمن مفاتيح عامة محجوبة.
وحذرت النشرة من أن الإصدارات التي انتهى دعمها تظل عرضة للثغرات، ويستوجب ذلك الانتقال الفوري إلى الفروع المدعومة. وصنف الإصداران 24.22.1 و22.23.4 ضمن فئة الدعم طويل الأمد (LTS)، بينما يعد 26.12.1 الإصدار الحالي، وأُدرجت ملاحظات الفرع 22 ضمن صفحة 22.23.4.
يذكر أن النشرة الأمنية لم تتضمن تقييم CVSS أو تفاصيل حول حالة الاستغلال الفعلي أو حلولاً مؤقتة لأي من الثغرات المكتشفة.
