Des chercheurs d'Imperva démontrent l'exploit RCE Node2Shell sur un build officiel de Node.js
Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data
Les chercheurs en sécurité d'Imperva ont démontré que des données Brotli malveillantes peuvent faire exécuter du code fourni par l'attaquant à une application tournant sur un build officiel de Node.js. Leur preuve de concept Node2Shell a exécuté du code sur l'image officielle Node.js 24.22.0 pour Linux arm64, sans débogueur ni build personnalisé, en injectant des données forgées dans le décodeur Brotli intégré (CVE-2026-111497). Node.js a divulgué la faille.
La démonstration d'Imperva montre qu'un build officiel de Node.js peut exécuter du code via des données Brotli forgées, ce qui éclaire l'exposition réelle de la chaîne d'outils.
Source :The Hacker News · thehackernews.com