机构
Bun
Bun JavaScript 运行时项目在 GitHub 发布的安全通告。
本版条目
通告
Google Brotli 解码器越界写 CVE-2026-111497（CVSS 9.2）：可致远程代码执行，波及 Bun、Envoy 与 PyPI 等捆绑组件
Google Brotli 项目于 10 月 21 日发布 1.2.1（并同步 1.0.10、1.1.1 修复线），披露 CVE-2026-111497：解码器在处理特制压缩流时可发生越界写，远程未认证攻击者可能导致内存损坏、信息泄露、拒绝服务或远程代码执行；受影响版本为 1.0.3 至 1.2.0（不含已回修的 1.0.10/1.1.1）。OpenAI 安全研究称在红队演练中发现该问题并通知上游与下游；Envoy 于 10 月 23 日发布 GHSA，称启用 Brotli 解压的 v1.39.2/1.38.5/1.37.7/1.36.11 受影响，已在 1.40.0 及对应补丁线修复；Bun 同日发布 GHSA，称 1.4.3 及更早捆绑受影响 Brotli，已于 1.4.4 升至 1.2.1，并提示 fetch 默认解压 br 与编译产物需重建。