brotli

OpenAI на платформе X опубликовала сообщение о том, что в недавних учениях красной команды было обнаружено уязвимость в широко используемой библиотеке сжатия Brotli, которая позволяет удаленно выполнять код без аутентификации. Программное обеспечение, такое как Node.js, Bun, Envoy и другие, включает эту библиотеку. Злоумышленники могут захватить незапатченные серверы, отправляя вредоносные сжатые данные, а также могут захватить клиентов, принимающих сжатые данные, через вредоносные серверы.OpenAI сообщила, что корень проблемы был исправлен в коде Brotli в феврале этого года, но тогда он не был признан уязвимостью безопасности, и программное обеспечение, встраивающее эту библиотеку, должно быть обновлено. По данным The Hacker News, уязвимость имеет номер CVE-2026-111497, и Node.js выпустил исправленную версию 21 октября.