VULNERABILITY 01CVSS v4.0 · 9.2
CVE-2026-111497
Brotli Decoder · Out-of-Bounds Write
조작된 Brotli 스트림에서 잘못된 블록 전환 상태를 영구 오류로 처리하지 못하는 문제로, 스트리밍 디코더가 내부 버퍼 범위를 벗어나 데이터를 기록할 수 있습니다. 그 결과 프로세스 충돌, 메모리 정보 유출 또는 원격 코드 실행이 발생할 수 있습니다.
취약 구성: node:zlib 등의 경로로 공격자가 제어할 수 있는 Brotli 데이터를 압축 해제하는 Node.js 애플리케이션
EXPOSURE CONDITIONS환경별 위험 상이
어떤 서비스가 위험한가?
Untrusted Brotli Input · Request / Response
웹서비스가 업로드 파일이나 압축 요청 본문을 해제하거나 외부 API의 Brotli 압축 응답을 해제할 때 취약 경로에 노출될 수 있습니다. Node.js가 설치되었다는 사실만으로 모든 애플리케이션에서 즉시 RCE가 가능한 것은 아닙니다.
점검 대상: Node.js 백엔드, API 서버, 압축 처리 미들웨어, 컨테이너·서버리스 런타임, CI/CD 실행 환경
