请立即更新：Node.js 发布最高严重级别高危安全更新 - 篮球球员状态
IT之家 10 月 21 日消息，开源 JavaScript 运行环境 Node.js 今日向 26.x、24.x、22.x 系列版本推出了安全补丁，解决了超过 10 个安全问题，其中 4 个被列为高危等级。
IT之家在此列出本次更新所修复的漏洞详情：
dns.resolve 在遇到含 NUL 字符的域名时出现截断问题（CVE-2026-105482）—— 高危
此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 hasanfleyah 提交问题报告，并由 jasnell 完成修复。
当 IP 地址采用全角数字表示时，TLS 证书主机名验证可被绕过（CVE-2026-105483）—— 高危
该漏洞影响 Node.js 26.x 和 24.x 版本。 感谢 hasanfleyah 提交问题报告，并由 jasnell 完成修复。
当主机名通过宽松解析可被解读为 IP 地址时，TLS 证书主机名验证可被绕过（CVE-2026-106069）—— 高危
此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 anagnorisis2peripeteia 提交问题报告，并由 mcollina 完成修复。
Node.js Brotli 解码器存在越界写入缺陷，可能引发远程代码执行（CVE-2026-111497）—— 高危
Node.js 存在一个缺陷，其 Brotli 解码器可能出现越界写入情况，进而导致远程代码执行风险。 此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 mcollina 提交问题报告，并由 aduh95 完成修复。
Keep-alive 套接字会处理在请求发送前就已写入的响应（CVE-2026-105481）—— 中危
该漏洞影响 Node.js 26.x、24.x 和 22.x 版本。 感谢 hasanfleyah 提交问题报告，并由 jasnell 完成修复。
对非规范 IPv4 主机名的证书验证不准确，导致 DNS SAN 可用于验证 IP 端点（CVE-2026-106072）—— 中危
此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 br41ny 提交问题报告，并由 mcollina 完成修复。
crypto.randomUUID() 和 randomInt() 的熵缓存被保存至用户态启动快照及 SEA 中，导致每个进程重复生成相同数值（CVE-2026-106074）—— 中危
该漏洞影响 Node.js 26.x、24.x 和 22.x 版本。 感谢 gesposito 提交问题报告，并由 panva 完成修复。
Node.js ZipFile 在 ZIP 文件头验证失败后，仍会返回由攻击者控制的前缀字节（CVE-2026-106070）—— 低危
此漏洞仅影响 Node.js 26.x 版本。 感谢 startimeash 提交问题报告，并由 mcollina 完成修复。
权限模型通过通配符基数查找机制授予了过度的文件系统权限（CVE-2026-106071）—— 低危
该漏洞仅影响 Node.js 26.x 版本。 感谢 malikhamzaiqbal 提交问题报告，并由 jasnell 完成修复。
可通过 fs.realpathSync 绕过权限模型（CVE-2026-106073）—— 低危
此漏洞波及 Node.js 26.x、24.x 和 22.x 版本。 感谢 0xoroot 提交问题报告，并由 RafaelGSS 完成修复。
下载链接：
- Node.js v22.23.4
- Node.js v24.22.1
- Node.js v26.12.1
