← 全部报道

威胁情报

Brotli 解码器漏洞曾致 Node.js 远程代码执行，Bun、Python 等多款常用软件亦受影响

作者 The Hacker News1 分钟阅读

据 The Hacker News 报道，谷歌 Brotli 解码器存在一处内存损坏漏洞（CVE-2026-111497），影响所有解压 Brotli 压缩数据的软件，包括 Bun、Python 的 Brotli 与 brotlicffi 包，以及配置为解压 Brotli 的 Envoy 代理。特制压缩数据可越界写入缓冲区、破坏程序内存，该漏洞此前还被关联到 Node.js 的远程代码执行问题。

威胁情报报道封面

据 The Hacker News 报道，谷歌 Brotli 解压库中存在一处内存损坏漏洞，波及众多需要解压 Brotli 压缩数据的常用软件。该漏洞编号为 CVE-2026-111497。

报道称，受影响的软件包括 Bun JavaScript 运行时、Python 的 Brotli 与 brotlicffi 包，以及配置为解压 Brotli 流量的 Envoy 代理。此前，同一底层缺陷还曾被关联到 Node.js 中的一处远程代码执行问题。

根据报道，攻击者可通过特制的压缩数据触发该漏洞：当存在漏洞的程序处理这类输入时，会越过缓冲区末尾写入，从而破坏程序内存。此类内存损坏可能被进一步利用来改变程序行为——正如早先 Node.js 案例所示，甚至可实现远程代码执行。

该报道凸显了软件供应链安全中的一个老问题：同一个解压库被嵌入到多种编程语言、运行时和网络基础设施中，共享组件中的一处缺陷就可能同时暴露大量原本互不相关的产品。压缩与解压代码由于经常处理攻击者可控的输入、并执行复杂的缓冲区操作，历来是这类漏洞的高发地带。

源信息中未详述受影响的具体版本、补丁或缓解措施。有关 CVE-2026-111497 的更多技术细节，可参阅 The Hacker News 的相关报道。

如何阅读本页

仅限授权 · 基于证据 · 反映检测时点的状态。Aegis 无法保证不存在弱点或隐藏设备。在本机上，对外的 HTTP/TLS 实时检测可能被网络拦截，此时会如实标为覆盖缺口。严重程度与置信度分开呈现。已启用持久存储时，完成的评估会保存在加密存储中。主题选择可能保存在此浏览器中。你也可以导出一份副本带走。