Google Brotli解码器1.0.3至1.2.0存在越界写缺陷（CVE-2026-111497），影响Node.js、Bun、Python的Brotli/brotlicffi包，以及使用C解码器的Envoy等组件。研究者已在Node.js构建中演示代码执行，攻击面涉及HTTP压缩链路，因此被称为Broccoli2Shell、Node2Shell或HTTP2Shell。建议相关站点按版本判定方法排查受影响组件，并依照修复指引升级。🔗 原文链接：https://strobes.co/blog/http2shell-brotli-rce-cve-2026-111497/
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
