آسیب‌پذیری Brotli نرم‌افزارهای پرکاربرد را درگیر کرد

آسیب‌پذیری Brotli با شناسه CVE-2026-111497 در رمزگشای Brotli گوگل شناسایی شده و دامنه آن فراتر از Node.js است. این نقص در برنامه‌هایی وجود دارد که داده‌های فشرده‌شده با Brotli را باز می‌کنند؛ از جمله Bun، بسته‌های Brotli و brotlicffi پایتون و پراکسی‌های Envoy که برای بازگشایی Brotli پیکربندی شده‌اند.

مشکل از نوع خرابی حافظه است: داده فشرده دست‌کاری‌شده می‌تواند باعث نوشتن فراتر از انتهای یک بافر شود. این رفتار، حافظه برنامه را مخدوش می‌کند و می‌تواند زمینه سوءاستفاده را فراهم کند.

دامنه این نقص به یک ابزار یا زبان خاص محدود نیست، زیرا ریشه آن در رمزگشای Brotli قرار دارد. بنابراین هر نرم‌افزاری که از این مؤلفه برای بازکردن داده‌های فشرده استفاده می‌کند، ممکن است تحت تأثیر این آسیب‌پذیری قرار بگیرد.

برای تیم‌های توسعه و کسب‌وکارهایی که Bun، بسته‌های پایتون یا Envoy با قابلیت بازگشایی Brotli به کار می‌گیرند، شناسایی محل استفاده از این رمزگشا اهمیت دارد. گزارش همچنین این نقص را با اجرای کد از راه دور در Node.js مرتبط می‌داند.

منبع: The Hacker News