#nodejs · IT Дайджест

12. Node.js закрыл серию уязвимостей, включая RCE в Brotli-декодере

Node.js выпустил 26.12.1, 24.22.1 и 22.23.4 для линеек 26.x, 24.x и 22.x. Максимальная severity — high: среди проблем OOB write в Brotli-декодере с RCE (CVE-2026-111497), обходы hostname в TLS-сертификатах и баг с NUL-символом в dns.resolve. Также обновлены зависимости: c-ares, OpenSSL, Undici, SQLite и ca-cert.

nodejs.org · #security #cve #nodejs #security

12. Cloudflare переписала module registry в workerd под Node.js-совместимость

Новый реестр модулей в Workers runtime включает import.meta.url/main/resolve, корректную валидацию import attributes, require(esm) по правилам Node.js и source phase imports для WebAssembly. Включается флагом new_module_registry, а лимит сжатого бандла убран: до 64 MiB на всех планах. Все стабильные Node.js API теперь включены по умолчанию.

blog.cloudflare.com · #infra #cloudflare #nodejs #workers