پژوهشگران امنیتی شرکت Imperva آسیب‌پذیری جدیدی به نام Node2Shell را کشف کرده‌اند که به مهاجمان اجازه می‌دهد از طریق داده‌های دستکاری‌شده Brotli روی نسخه‌های رسمی Node.js کد دلخواه اجرا کنند. این نقص امنیتی در تاریخ ۲۳ مهر ۱۴۰۵ منتشر شده است.
به گزارش The Hacker News، این آسیب‌پذیری با شناسه CVE-2026-111497 ردیابی می‌شود و از طریق دیکودر Brotli تعبیه‌شده در پلتفرم رخ می‌دهد. پژوهشگران نشان داده‌اند که ارسال داده‌های ساخته‌شده برای این کتابخانه فشرده‌سازی می‌تواند یک اپلیکیشن را روی ایمیج رسمی Node.js 24.22.0 برای لینوکس arm64 وادار به اجرای کدهای ارائه‌شده توسط مهاجم کند.
این بهره‌برداری بدون نیاز به دیباگر یا بیلد سفارشی و صرفاً با تغذیه داده‌های هدفمند به دیکودر انجام شده است. تیم توسعه Node.js نیز این مسئله را پس از بررسی‌های امنیتی تایید و ابعاد آن را مستند کرده است. توسعه‌دهندگانی که از ایمیج‌های رسمی یا کتابخانه‌های مرتبط استفاده می‌کنند باید منتظر پچ‌های اصلاحی رسمی باشند.
نکات کلیدی این خبر
- کشف آسیب‌پذیری جدید Node2Shell در نرم‌افزار Node.js
- شناسه امنیتی ثبت‌شده برای این نقص CVE-2026-111497 است
- اجرای کد روی ایمیج رسمی لینوکس arm64 نسخه Node.js 24.22.0 اثبات شد
- نیاز نداشتن به دیباگر یا بیلد سفارشی برای اجرای بهره‌بردار
این خبر برای شما چه معنایی دارد؟
مدیران سیستم و توسعه‌دهندگانی که از ایمیج‌های رسمی Node.js و کتابخانه‌های فشرده‌سازی Brotli در سرویس‌های خود استفاده می‌کنند، در معرض خطر اجرای کد از راه دور قرار دارند. بررسی نسخه‌های مستقر روی سرور و اعمال به‌روزرسانی‌های امنیتی پس از انتشار پچ رسمی برای جلوگیری از سوءاستفاده‌های احتمالی ضروری است.
منبع خبر
The Hacker News
— Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data
انتشار در منبع:
این خبر را تحریریه‌ی مهران هاست بر پایه‌ی گزارش منبع بالا به فارسی نوشته است؛ جزئیات کامل و به‌روزرسانی‌های بعدی را در منبع اصلی ببینید.
