ثغرة Brotli تستدعي تصحيحات Node.js ومراجعة أوسع للتبعيات

ثغرة عالية الخطورة في فك الضغط

يصنّف مشروع Node.js الثغرة CVE-2026-111497 عالية الخطورة. هذا هو التصنيف المعلن، ولا ينبغي استبداله بدرجة رقمية حرجة لا تستند إلى مصدر.

وتقول Node.js إن مدخل Brotli غير سليم قد يسبب انهيارًا أو كشف ذاكرة العملية أو تنفيذ شيفرة عن بُعد. هذه نتائج محتملة مختلفة. ولا يثبت عرض نتيجة في بيئة واحدة تحققها في جميع التطبيقات المستخدمة لمفكك الضغط.

وتسرد نشرة Node.js الأمنية التنزيلات المصحّحة 22.23.4 و24.22.1 و26.12.1. ينبغي ربط الإصدار المناسب بالتطبيق الفعلي. ولا تصف هذه القائمة جميع نسخ Brotli المضمّنة بصورة مستقلة في برمجيات المؤسسة.

ما الذي أثبتته الاختبارات المستقلة؟

عرضت Imperva تنفيذ شيفرة داخل صورة Node.js 24.22.0 الرسمية لبيئة Linux arm64. البيئة جزء من النتيجة؛ فحذفها يوسّع الادعاء إلى منصات لا تثبتها الأدلة المتاحة.

ووجدت Imperva أن Node.js 24.22.1 رفض المدخلات الخبيثة نفسها. هذه نتيجة تخص المدخلات والإصدار المختبَر، ولا تعني تغطية كل المكوّنات الوسيطة أو المنصات.

واختبرت Imperva استجابات مضغوطة بـBrotli تستهلكها fetch() وأجسام طلبات واردة تعالجها محللات مهيّأة. لذلك فإن حصر المراجعة في الطلبات الواردة يتجاهل أحد المسارات المختبَرة. المهمة العملية هي تحديد المسارات المستخدمة فعليًا داخل التطبيق.

المسألة لا تقتصر على Node.js

تحدّد JFrog نطاقات Brotli الأصلية المتأثرة: من 1.0.3 قبل 1.0.10، ومن 1.1.0 قبل 1.1.1، ومن 1.2.0 قبل 1.2.1. هذه أرقام إصدارات Brotli، وليست قائمة أخرى لإصدارات Node.js. والفصل بينهما ضروري لجرد صحيح.

وأعادت JFrog إنتاج انهيار في ClickHouse بطلب HTTP واحد ذي جسم بحجم 23 MB. النتيجة انهيار مثبت في الاختبار، وليست إثباتًا لتنفيذ شيفرة في ClickHouse أو لاستغلال خبيث فعلي.

مراجعة مشروطة لفرق التطبيقات الجزائرية

ينبغي للمؤسسات الجزائرية المعنية تحديد التطبيقات التي تحتوي مفكك ضغط Brotli أو تضمّنه. ثم تُطابق النسخة والتصحيح المنقول أو تحديث المورّد مع مسارات المدخلات التي قد يتحكم بها مهاجم. لا ينبغي افتراض أن تحديث مكتبة النظام يعالج نسخة مضمّنة منفصلة.

يُستحسن تعيين مسؤول لكل تحديث، وطلب قرار واضح من مورّد التطبيق عندما تبقى قابلية الانطباق غير مؤكّدة. لا يكفي وجود اسم حزمة مألوف لاستنتاج شمول المعالجة. ولا تثبت المعطيات ضحية جزائرية أو عددًا للتثبيتات المحلية.

التحقق بحسب الادعاء

تدعم الأدلة مراجعة عاجلة دون مبالغة: يصف المورّد نتائج محتملة خطيرة، ويعرض الباحثون سلوكًا محدّدًا في بيئات معلومة. ينبغي أن يوثّق سجل المعالجة المكوّن المتغيّر والتطبيق الذي اختُبر. فقابلية الاستغلال المثبتة في الاختبار تختلف عن إثبات استغلال خبيث فعلي.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Node.js Project
• Imperva
• JFrog Security Research
• Brotli2Shell: مفكك ضغط Google Brotli (CVE-2026-111497) — Tenable