Node.js - 卫方智能网络安全资讯平台

CVE-2026-111497：Node.js Brotli 越界写可致 RCE

2026年10月23日作者卫方智能

Node.js 10 月 21 日修复 10 个漏洞，最严重的 CVE-2026-111497 是内置 Brotli 解码器越界写，官方称可致远程代码执行。修复版 22.23.4、24.22.1、26.12.1，20.x 及更早不再提供补丁。

2026年10月16日作者卫方智能

Vercel 于 10 月 14 日发布计划外的 Next.js 安全更新，修复两处无需认证即可触发的远程代码执行漏洞（各 CVSS 9.5）与一处高危拒绝服务缺陷。修复版本为 16.4.1 与 15.5.28，其中图像处理链路缺陷编号 CVE-2026-96889。

2026年10月14日作者卫方智能

Bloom Security 发现 npm 可信发布机制存在缺陷，1 个失效的仓库 slug 就能继承原有信任关系，向不属于自己的包推送恶意版本。受影响包超过 1500 个，累计下载量逾 1000 万次。

2026年10月13日作者卫方智能

10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。

2026年10月8日作者卫方智能

CloudSEK 与 Checkmarx 披露 MALFEX 供应链行动：8 个恶意 npm 包累计被下载 40,767 次，通过 postinstall 钩子投递 Overlord RAT 与 Node.js 窃密程序，其中 3 个包截至披露时仍在线。

2026年10月2日作者卫方智能

Checkmarx 披露一起 npm 供应链投毒行动：恶意包 indexed-btree 冒充合法库 sorted-btree，峰值周下载量约 200 万次，载荷藏于运行时函数而非安装脚本，从而绕过 npm v12 的安装期加固，C2 指令则托管在以太坊测试网智能合约上。

2026年10月1日作者卫方智能

OX Security 披露 PhantomSub 活动：101 个伪装成 Baileys 的恶意 npm 包在建立会话后把开发者的 WhatsApp 账号自动加入攻击者控制的频道，累计下载约 49 万次。

2026年9月18日作者卫方智能

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。