OpenAI a identifié dans le décodeur Brotli une vulnérabilité permitting l’exécution de code à distance, suivie de la CVE-2026-111497, surnommée Node2Shell. L’attaque repose sur une écriture hors limites provoquée par des données compressées malveillantes et peut viser les clients comme les serveurs sans authentification. La faille est classée avec un score CVSS critique de 9,2 et affecte notamment Node.js, Bun, Envoy et plusieurs paquets Python. Node.js a publié les versions corrigées 22.23.4, 24.22.1 et 26.12.1 le 21 octobre 2026, tandis que les utilisateurs de Bun doivent mettre à jour vers la version 1.4.4 ou une version ultérieure. Bien qu’aucune exploitation généralisée n’ait été observée au 23 octobre 2026, des proofs of concept ont été élaborés et la faille a été exploitée avec succès contre des versions vulnérables de Node.js.
Source: Lire l’article original
