Brotli压缩库漏洞

谷歌开发的Brotli压缩库存在高危越界写入漏洞（CVE-2026-111497），CVSS 4.0评分高达9.2分，被业界称为“Node2Shell”或“Broccoli2Shell”。该漏洞不仅影响Node.js运行时，还波及Python、Go、.NET、Perl等多个软件生态系统以及Chrome、Firefox等浏览器和Envoy代理。攻击者可通过构造特制的Brotli压缩数据触发内存损坏，进而实现远程代码执行。尽管上游修复代码早在2026年2月已提交，但直到10月才随新版本发布并披露为安全漏洞，导致大量依赖旧版Brotli的软件长期处于风险中。目前Node.js、Python包及微软.NET等已发布补丁，但部分内嵌Brotli副本的项目（如DuckDB、Apache Arrow）尚未完全修复。企业需全面盘点使用Brotli解压缩不受信任数据的后端服务、容器及工具链，仅更新Node.js不足以覆盖所有风险。