请立即更新：Node.js 发布最高严重级别高危安全更新

感谢亚汇网网友亚汇网附本次更新修复漏洞如下：dns.resolve会截断包含NUL字符的域名（CVE-2026-105482）——高危该漏洞影响Node.js26.x、24.x和22.x。感谢hasanfleyah的报告，并感谢jasnell修复该问题。当IP地址使用全角数字表示时，可绕过TLS证书主机名验证（CVE-2026-105483）——高危该漏洞影响Node.js26.x和24.x。感谢hasanfleyah的报告，并感谢jasnell修复该问题。当主机名通过宽松解析可被解析为IP地址时，可绕过TLS证书主机名验证（CVE-2026-106069）——高危该漏洞影响Node.js26.x、24.x和22.x。感谢anagnorisis2peripeteia的报告，并感谢mcollina修复该问题。Node.jsBrotli解码器存在越界写入漏洞，可导致远程代码执行（CVE-2026-111497）——高危Node.js存在一项缺陷，其Brotli解码器可能发生越界写入，从而导致远程代码执行。该漏洞影响Node.js26.x、24.x和22.x。感谢mcollina的报告，并感谢aduh95修复该问题。Keep-alive套接字会处理在请求发送前就已写入的响应（CVE-2026-105481）——中危该漏洞影响Node.js26.x、24.x和22.x。感谢hasanfleyah报告此漏洞，并感谢jasnell修复该问题。对非规范IPv4主机名的证书验证不正确，导致DNSSAN可用于验证IP端点（CVE-2026-106072）——中危该漏洞影响Node.js26.x、24.x和22.x。感谢br41ny报告此漏洞，并感谢mcollina修复该问题。crypto.randomUUID()和randomInt()的熵缓存被保存到用户态启动快照和SEA中，导致每个进程重复生成相同的值（CVE-2026-106074）——中危该漏洞影响Node.js26.x、24.x和22.x。感谢gesposito报告此漏洞，并感谢panva修复该问题。Node.jsZipFile在ZIP文件头验证失败后仍会返回由攻击者控制的前缀字节（CVE-2026-106070）——低危该漏洞影响Node.js26.x。感谢startimeash报告此漏洞，并感谢mcollina修复该问题。权限模型通过通配符基数查找机制授予过多文件系统权限（CVE-2026-106071）——低危该漏洞影响Node.js26.x。感谢malikhamzaiqbal报告此漏洞，并感谢jasnell修复该问题。可通过fs.realpathSync绕过权限模型（CVE-2026-106073）——低危该漏洞影响Node.js26.x、24.x和22.x。感谢0xoroot报告此漏洞，并感谢RafaelGSS修复该问题。下载链接：广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，亚汇网包含外链的文章均包含本声明。