Brotli 高危漏洞扩展至 Python 等 HTTP 组件

Brotli 高危漏洞扩展至 Python 等 HTTP 组件

谷歌 Brotli 解码器漏洞 CVE-2026-111497 影响 1.0.3 至 1.2.0 版本，CVSS 4.0 评分为 9.2。远程未认证攻击者可发送特制压缩流，导致内存损坏、敏感数据泄露、进程崩溃或可能执行任意代码；Node.js 和 Python 相关组件均受影响。

该漏洞最初以 Node2Shell 名称披露，后被称为 HTTP2Shell。Python 的 Brotli 需升级至 1.2.1，brotlicffi 至 1.2.1.0；Node.js 修复版本为 22.23.4、24.22.1 或 26.12.1。OpenAI 表示于今年 2 月发现该问题。

Aikido Security