OpenAI scopre una vulnerabilità di esecuzione remota del codice nella libreria di compressione Brotli

OpenAI ha dichiarato su X che durante un esercizio di red team ha scoperto una vulnerabilità nella libreria di compressione Brotli che consente l'esecuzione remota di codice senza autenticazione. Software come Node.js, Bun e Envoy includono questa libreria. Gli aggressori possono prendere il controllo di server non patchati inviando dati compressi malevoli o prendere il controllo di client che accettano dati compressi tramite server malevoli. La causa di questo problema è stata corretta nel codice sorgente di Brotli a febbraio di quest'anno, ma non era stata identificata come una vulnerabilità di sicurezza all'epoca; il software che include questa libreria deve essere aggiornato di conseguenza. La vulnerabilità è identificata con il numero CVE-2026-111497 e Node.js ha rilasciato una versione correttiva il 21 ottobre.