Обновление пакета node до Node.js 22.23.4 (LTS), security-релиза от 21 октября 2026 года. Для ветки 22.x исправлены: - CVE-2026-111497 (High): запись за границы буфера в декодере Brotli, допускающая удалённое выполнение кода. - CVE-2026-105482 (High): усечение имён с NUL в dns.resolve. - CVE-2026-106069 (High): обход проверки имени узла TLS при неоднозначной интерпретации IP-адреса. - CVE-2026-105481 (Medium): обработка HTTP keep-alive соединением ответа, поступившего до отправки запроса. - CVE-2026-106072 (Medium): некорректная проверка сертификата для неканонического IPv4, позволяющая DNS SAN аутентифицировать IP-узел. - CVE-2026-106074 (Medium): сохранение кэшей энтропии randomUUID/randomInt в snapshots и SEA с повторением значений между процессами. - CVE-2026-106073 (Low): обход Permission Model через fs.realpathSync. Обновление должно включать исправления зависимостей. Upstream обновил c-ares до 1.34.9, OpenSSL до 3.5.9, SQLite до 3.53.4, Undici до 6.29.1 и корневые сертификаты до NSS 3.131.1, а также включил исправление Brotli. При использовании системных библиотек необходимо обеспечить соответствующие исправления и явно указать требуемые версии в BuildRequires/Requires пакета node.
22 октября 2026 г. Vitaly Lipatov 22.23.4-alt1 - new version 22.23.4 - require c-ares 1.34.9 (was 1.34.6) and libbrotli-devel 1.2.1. - require openssl-devel 3.5.9 (was 3.0.15). - fixes: + CVE-2026-105481: Node.js releases include security fixes. + CVE-2026-105482: Node.js releases include security fixes. + CVE-2026-106069: Node.js releases include security fixes. + CVE-2026-106072: Node.js releases include security fixes. + CVE-2026-106073: Node.js releases include security fixes. + CVE-2026-106074: Node.js releases include security fixes. + CVE-2026-111497: Node.js releases include security fixes.
