Node.js Ekim 2026 Güvenlik Bülteni — Maruziyet Kontrolü
Node.js 21 Ekim 2026 güvenlik bülteniyle, aralarında Brotli kaynaklı uzaktan kod çalıştırma açığı CVE-2026-111497'nin de bulunduğu 10 CVE'yi kapattı. Düzeltilmiş sürümler: 22.23.4, 24.22.1 ve 26.12.1. Sitenizin adresini girin, dışarıdan görünen işaretlere göre risk durumunu hemen görün.
Her satıra bir adres yazın (tek gönderimde en fazla 10). Araç her adrese en fazla 6 normal ziyaret isteği gönderir: girdiğiniz adres, varsa yönlendirmeleri ve var olmayan bir sayfa. Yanıt başlıklarına ve sayfa kaynağına bakar; hiçbir saldırı ya da açık tetikleme denemesi yapmaz. Yalnızca size ait ya da kontrol etme izniniz olan adresleri girin.
Bültendeki 10 açık
Hepsi aynı sürümlerle kapanıyor: 22.23.4, 24.22.1 ve 26.12.1. Hiçbiri dışarıdan kesin olarak tespit edilemez; kesin sonuç sunucudaki Node.js sürümüdür.
| CVE | Açıklama | Önem | Etkilenen hatlar |
|---|---|---|---|
| CVE-2026-111497 | Brotli çözücüde sınır dışı yazma ile uzaktan kod çalıştırma. Node.js Brotli ile sıkıştırılmış bir veriyi açtığında tetiklenir: br sıkıştırılmış istek gövdesi kabul eden sunucular, fetch gibi HTTP istemcileriyle dışarıdan içerik çeken uygulamalar ve zlib ile dış veriyi açan kodlar. | Yüksek | 22.x, 24.x, 26.x |
| CVE-2026-105482 | dns.resolve, NUL karakter içeren alan adlarını hatalı işliyor. | Yüksek | 22.x, 24.x, 26.x |
| CVE-2026-105483 | IP adresi tam genişlikli (fullwidth) rakam içerdiğinde TLS sertifikası ana bilgisayar adı doğrulaması atlatılabiliyor. | Yüksek | 24.x, 26.x |
| CVE-2026-106069 | Ana bilgisayar adı gevşek biçimde bir IP adresine çözümlendiğinde TLS sertifikası ana bilgisayar adı doğrulaması atlatılabiliyor. | Yüksek | 22.x, 24.x, 26.x |
| CVE-2026-105481 | Keep-alive soketleri, istek gönderilmeden önce yazılmış bir yanıtı işliyor. | Orta | 22.x, 24.x, 26.x |
| CVE-2026-106072 | Standart dışı IPv4 ana bilgisayar adlarında hatalı sertifika doğrulaması, DNS SAN'larının IP uç noktalarını doğrulamasına izin veriyor. | Orta | 22.x, 24.x, 26.x |
| CVE-2026-106074 | crypto.randomUUID() ve randomInt() entropi önbellekleri başlangıç snapshot'larında ve tek dosyalık uygulamalarda (SEA) korunuyor; süreçler arasında aynı değerler üretilebiliyor. | Orta | 22.x, 24.x, 26.x |
| CVE-2026-106070 | ZipFile, başarısız ZIP başlık doğrulamasından sonra saldırganın kontrolündeki ön ek baytlarını döndürüyor. | Düşük | 26.x |
| CVE-2026-106071 | Permission Model'deki joker karakterli radix aramasından kaynaklanan fazla dosya sistemi izni. | Düşük | 26.x |
| CVE-2026-106073 | fs.realpathSync üzerinden Permission Model atlatma. | Düşük | 22.x, 24.x, 26.x |