Разработчики Node.js выпустили обновления для всех поддерживаемых веток (22.x, 24.x и 26.x), устраняющие десять уязвимостей безопасности. Наиболее критичной из них является проблема, затрагивающая встроенный декодер Brotli и позволяющая злоумышленникам выполнить удаленный код. Эта уязвимость получила несколько названий, включая Node2Shell, HTTPS2Shell и Brocolli2Shell, и представляет опасность не только для экосистемы Node.js, но и для таких проектов, как Bun, Python-пакетов, а также систем Envoy и Istio.
Исправления были интегрированы в версии Node.js 22.23.4, 24.22.1 и 26.12.1, пользователям веток 20.x и более ранних, поддержка которых прекращена, рекомендуется немедленный переход на актуальные сборки.
