brotli

ChainCatcher 消息，OpenAI 在 X 平台發帖稱，其在近期紅隊演練中發現，廣泛使用的壓縮庫 Brotli 存在一個無需身份驗證即可遠程執行代碼的漏洞，Node.js、Bun、Envoy 等軟體均內置該庫。攻擊者可通過發送惡意壓縮數據接管未修補的伺服器，也可通過惡意伺服器接管接受壓縮數據的客戶端。OpenAI 表示，該問題的根源已於今年 2 月在 Brotli 源碼中修復，但當時未被識別為安全漏洞，內置該庫的軟體均需同步更新。據 The Hacker News 報道，該漏洞編號為 CVE-2026-111497，Node.js 已於 10 月 21 日發布修復版本。