21 октября 2026 года проект Node.js выпустил обновления безопасности 22.23.4, 24.22.1 и 26.12.1, закрыв в том числе ошибку распаковщика Brotli, допускавшую удалённое выполнение кода. Во всех трёх ветках максимальный уровень опасности исправленных уязвимостей — высокий. Пакет затрагивает несколько разных границ доверия: между сжатыми данными и памятью процесса, адресом сервера и его сертификатом, сохранённым состоянием приложения и будущими случайными числами. Ошибки объединяет неприятная особенность: прикладная программа могла пользоваться штатными средствами Node...