Dobësia CVE-2026-111497 në dekoduesin Google Brotli, pas cenueshmërisë Node2Shell, prek versionet 1.0.3–1.2.0 në të gjitha platformat. Me vlerësim kritik CVSS v4.0 prej 9.2, ajo lejon shkrim jashtë kufijve të memories gjatë përpunimit të të dhënave të kompresuara të përgatitura nga sulmuesi.
Një sulmues në distancë, pa autentikim, mund të shkaktojë rrjedhje të të dhënave, ndërprerje të procesit ose potencialisht ekzekutim arbitrar kodi. Sulmi funksionon në të dy drejtimet: një klient keqdashës mund të komprometojë një server të papërditësuar, ndërsa një server keqdashës mund të komprometojë klientë që pranojnë përgjigje të kompresuara.
OpenAI e zbuloi problemin në shkurt. Shkaku u korrigjua atëherë në kodin burimor, por nuk u njoh si çështje sigurie dhe korrigjimi nuk u përfshi në një version të publikuar deri tani. Preken Node.js dhe paketa Python; klientë si requests, httpx dhe aiohttp i ngarkojnë automatikisht paketat Brotli kur janë të instaluara.
Rekomandohet përditësimi në Brotli 1.2.1 ose brotlicffi 1.2.1.0, rindërtimi i aplikacioneve dhe imazheve të kontejnerëve, si dhe rinisja e shërbimeve. Deri më 23 tetor, pip-audit, Dependabot dhe Safety nuk i sinjalizonin ende versionet e cenueshme të paketave PyPI. Vetëm ndryshimi i Accept-Encoding nuk mjafton për mbrojtje.
Burimi: Hacker News — lexoni artikullin e plotë në anglisht.
