Баг в Brotli нашли в феврале, исправление вышло только сейчас, и бьёт он далеко за пределы Node.js (aikido.dev)
CVE-2026-111497 (CVSS 9,2) позволяет созданному потоку Brotli вызвать запись за границы буфера. Работает это в обе стороны: злой сервер может атаковать клиента, а злой клиент — сервер.
Ветка спорила о названии. Вопрос, открыт ли HTTP на самом деле, упёрся в одну настройку.
Войдите, чтобы сохранить