· adswds team · 安全
dns.resolve 会在 NUL 处截断名字：Node.js CVE-2026-105482
Node.js 2026-10-21：CVE-2026-105482（high）中，dns.resolve 会截断含 NUL 的名字。影响 26.x、24.x、22.x，修复为校验空字节，版本 26.12.1、24.22.1、22.23.4。
安全
分类「安全」下的文章列表
· adswds team · 安全Node.js 把不规范 IP 当成了合法主机名：CVE-2026-106069
2026-10-21 Node 安全发行：CVE-2026-106069（high）在主机名被宽松解析成 IP 时绕过证书主机名校验，影响 26/24/22。同日还有全角数字写法 CVE-2026-105483，22.23.4 的说明未列入该号。
· adswds team · 安全同一 worker 上的下一跳：PHP CVE-2026-109619 过期全局状态 RCE
PHP 2026-10-21 第二枚严重漏洞 CVE-2026-109619（CVSS 4.0 9.2）：请求堆释放后，worker 仍握着过期全局状态。会话上传进度路径已在 mod_php 与 FPM 上验证 RCE。
· adswds team · 安全Node.js Brotli 解码越界写：CVE-2026-111497，10 月 21 日安全发行
Node.js 官方：CVE-2026-111497 为高危，Brotli 解码器越界写可导致远程代码执行。影响 26.x、24.x、22.x，修复于 26.12.1、24.22.1、22.23.4。
· adswds team · 安全PHP 内存耗尽可打成未授权 RCE：CVE-2026-109618，先升再谈缓解
PHP 官方 2026-10-21：CVE-2026-109618（CVSS 4.0 9.2）让 OOM 打断未完成的请求初始化，mod_php 上已演示未授权 RCE。修复版本 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。
· adswds team · 安全npm 可信发布 48 小时验证：仓库名回收漏洞之后，CI 要改什么
蓝点网报道：GitHub 为 npm Trusted Publishing 设置 48 小时内必须首次成功发布，阻断研究员发现的仓库名回收（SlugFest）风险；并拒绝 issue_comment 事件令牌。广告与落地前端的发布流水线应按此收紧。