主 题：别睡觉了，今天把所有底层依赖更新一遍
发 布 者：jim139129
标签分类： 日常
时 间：2026-10-22 00:44:30
内容预览：内容转自QQ，涵盖PHP Node Nginx Apache Go litellm CA证书当然也不用太惊慌，大部分只是常规安全更新PHPCVE-2026-109618 通过内存耗尽（OOM） 导致的代码执行CVE-2026-109619 通过全局状态残留（Stale Global State） 导致的代码执行Node.js：8 个 CVE，4 个 high，含一个 RCE修复版：v22.23.4 / v24.22.1 / v26.12.1（今天发的）CVE-2026-111497 high Brotli 解码器越界写 → 远程代码执行（26/24/22 全中）。发个恶意 brotli 压缩 body 给 Node HTTP 服务就可能打穿CVE-2026-105482 high dns.resolve 截断含 NUL 的主机名 → 解析到错误主机（SSRF 绕过的经典套路）CVE-2026-105483 high TLS 证书校验绕过：IP 写成全角数字时 hostname 校验失效（26/24）CVE-2026-106069 high TLS 证书校验绕过：host 能"松散解析"成 IP 时，DNS SAN 可以冒充 IP 端点（26/24/22）CVE-2026-105481 medium keep-alive socket 会把请求发出前写好的响应发出去 → 跨请求响应混淆CVE-2026-106072 medium 非规范 IPv4 hostname 校验证书不当CVE-2026-106074 medium crypto.randomUUID()/randomInt() 的熵缓存被写进 SEA 快照 → 每个进程重复同一批值（要命的可预测性）26.x 专属 low
直达链接： https://www.nodeseek.com/post-1000104-1
发 布 者：jim139129
标签分类： 日常
时 间：2026-10-22 00:44:30
内容预览：内容转自QQ，涵盖PHP Node Nginx Apache Go litellm CA证书当然也不用太惊慌，大部分只是常规安全更新PHPCVE-2026-109618 通过内存耗尽（OOM） 导致的代码执行CVE-2026-109619 通过全局状态残留（Stale Global State） 导致的代码执行Node.js：8 个 CVE，4 个 high，含一个 RCE修复版：v22.23.4 / v24.22.1 / v26.12.1（今天发的）CVE-2026-111497 high Brotli 解码器越界写 → 远程代码执行（26/24/22 全中）。发个恶意 brotli 压缩 body 给 Node HTTP 服务就可能打穿CVE-2026-105482 high dns.resolve 截断含 NUL 的主机名 → 解析到错误主机（SSRF 绕过的经典套路）CVE-2026-105483 high TLS 证书校验绕过：IP 写成全角数字时 hostname 校验失效（26/24）CVE-2026-106069 high TLS 证书校验绕过：host 能"松散解析"成 IP 时，DNS SAN 可以冒充 IP 端点（26/24/22）CVE-2026-105481 medium keep-alive socket 会把请求发出前写好的响应发出去 → 跨请求响应混淆CVE-2026-106072 medium 非规范 IPv4 hostname 校验证书不当CVE-2026-106074 medium crypto.randomUUID()/randomInt() 的熵缓存被写进 SEA 快照 → 每个进程重复同一批值（要命的可预测性）26.x 专属 low
直达链接： https://www.nodeseek.com/post-1000104-1
