Node.js 26.5.1Current安全发布深度解读11 个 CVE 修复与依赖更新全解析【免费下载链接】nodejs.orgThe Node.js® Website项目地址: https://gitcode.com/GitHub_Trending/no/nodejs.orgNode.js 26.5.1 是 2026 年 7 月 29 日发布的 Current 分支安全版本一次性修复了 11 个已分配 CVE 编号的安全漏洞其中 2 个高危、6 个中危、3 个低危并同步升级了 llhttp 与 undici 两个关键网络依赖。本文以该版本官方发布公告为主线逐项拆解每个 CVE 的所属模块、严重级别与修复方向同时结合 nodejs.org 网站仓库中发布公告的生成链路、漏洞数据聚合逻辑与下载页组件源码说明这些安全信息是如何被沉淀、校验并在官网呈现的。本文对应仓库文档apps/site/pages/en/blog/release/v26.5.1.md版本概览安全修复专版Node.js 26.5.1Current于 2026-07-29 发布由 Rafael GonzagaRafaelGSS主导发布。这是一个纯安全版本不包含新特性其主要内容是修复 11 个已公开编号的 CVE 安全漏洞升级 llhttp 至 9.4.3升级 undici 至 8.9.0发布完整的平台安装包、二进制文件、源码包及签名校验和。从发布节奏看Node.js 的 Current 分支如 26.x保持高频迭代当安全修复积累到一定数量时便会以专门的安全版本形式发布v26.5.1 正属于此类版本安全修复覆盖了 HTTP/2、HTTPS、HTTP、权限系统Permission Model、SQLite、DNS 与 zlib 等多个运行时模块。Notable Changes11 个 CVE 全景下表汇总了 v26.5.1 修复的全部 CVE、所属模块与严重级别CVE 编号模块修复要点严重级别CVE-2026-56848http2延迟发送 RST_STREAM 帧避免其在作用域内提前触发HighCVE-2026-58043permission避免为 radix 拆分节点错误授予权限HighCVE-2026-56850https区分 PFX 对象数组形式的 Agent keyMediumCVE-2026-58040https将会话复用的身份校验绑定到会话本身MediumCVE-2026-58041sqlite在 statement 重置时使 tag store 迭代器失效MediumCVE-2026-58042dns处理超大 resolveAny 地址应答MediumCVE-2026-58045zlib对越界写入缓冲区抛出异常MediumCVE-2026-56847permission为 trace events 强制 fs 写权限检查LowCVE-2026-58039permission校验最终报告输出路径LowCVE-2026-58044http拒绝超过最大 header 数量的请求LowCVE-2026-58043 关联项permission——下面按严重级别分组逐一展开说明。高危HTTP/2 与权限模型CVE-2026-56848http2延迟发送 RST_STREAM 帧修复者 Matteo Collina对应 nodejs-private/node-private#921。HTTP/2 协议中RST_STREAM 用于主动终止某个数据流。该修复将 RST_STREAM 的发送时机推迟到安全作用域之外避免在某些生命周期阶段提前发送而触发未定义行为或内存安全问题。CVE-2026-58043permission避免为 radix 拆分节点错误授予权限修复者 RafaelGSS对应 nodejs-private/node-private#911。Node.js 的 Permission Model权限模型允许通过--permission标志限制文件系统、网络等资源访问。radix基数拆分节点是指路径树中被拆分的中间节点此修复确保这些拆分节点不会被意外授予超出预期的权限防止通过路径解析绕过权限边界。中危HTTPS、SQLite、DNS 与 zlibCVE-2026-56850https区分 PFX 对象数组形式的 Agent keynodejs-private/node-private#930。当pfx以对象数组形式传入时Agent 缓存键的构造方式与此前不同修复后避免了不同证书配置之间互相串用 TLS 会话的问题。CVE-2026-58040https将会话复用的身份校验绑定到会话本身nodejs-private/node-private#904防止 TLS 会话复用时身份校验对象被错误复用避免会话固定/串用类攻击。CVE-2026-58041sqlite在 statement 重置时使 tag store 迭代器失效nodejs-private/node-private#896。node:sqlite内置模块中tag store 迭代器在底层 statement 被重置后继续使用将导致悬垂访问修复后迭代器会随之失效杜绝了 use-after-free 类问题。CVE-2026-58042dns处理超大resolveAny地址应答nodejs-private/node-private#929。当 DNS ANY 查询返回异常庞大的应答时旧实现可能在解析过程中出现越界或截断问题修复后能安全处理超大应答。CVE-2026-58045zlib对越界写入缓冲区抛出异常nodejs-private/node-private#931。zlib 压缩/解压过程中如果写缓冲区越界旧行为可能静默写入修复后直接抛出异常将潜在内存破坏转为可捕获的错误。低危权限模型、报告输出与 HTTP 头限制CVE-2026-56847permission为 trace events 强制 fs 写权限检查nodejs-private/node-private#924。此前通过--trace-events-enabled触发 trace events 写文件时可以绕过文件系统写权限限制修复后统一走权限校验。CVE-2026-58039permission校验最终报告输出路径nodejs-private/node-private#908。--report生成的诊断报告文件路径同样需要经过权限模型检查避免向未授权路径写入。CVE-2026-58044http拒绝超过最大 header 数量的请求nodejs-private/node-private#922。Node.js 内置 HTTP 服务器此前对单请求 header 数量上限的强制可能不完整修复后对超过上限的请求直接拒绝防止资源耗尽型攻击。依赖升级llhttp 9.4.3 与 undici 8.9.0v26.5.1 同步升级了两个网络栈关键依赖llhttp 9.4.3Paolo Insognanodejs-private/node-private#935Node.js 内置 HTTP 解析器负责解析入站 HTTP 请求。HTTP 层解析器与 CVE-2026-58044header 数量限制直接相关llhttp 版本升级确保解析器层面的边界检查与运行时实现一致。undici 8.9.0Node.js GitHub Botnodejs/node#64712Node.js 内置的 HTTP/1.1 客户端实现也是fetch、WebSocket等 Web API 的底层运行时。8.9.0 携带了客户端侧的修复与稳定性改进。两个依赖分别通过deps类别的提交进入仓库commit 分别为af0bf96877与0354678355。完整提交列表与内部修复流程v26.5.1 共包含 11 个提交绝大多数 CVE 修复经由 Node.js 私有的安全仓库nodejs-private/node-private协作完成在安全修复公开发布后才合并到主仓库并随版本发布。全部提交汇总如下Commit模块说明af0bf96877deps升级 llhttp 至 9.4.3nodejs-private/node-private#9350354678355deps升级 undici 至 8.9.0nodejs/node#64712dbeeaeec13dnsCVE-2026-58042 超大 resolveAny 应答处理nodejs-private/node-private#929064d339f56httpCVE-2026-58044 拒绝超限 header 请求nodejs-private/node-private#92223b94c843ahttp2CVE-2026-56848 延迟 RST_STREAMnodejs-private/node-private#921c7ec3dc0b9httpsCVE-2026-58040 会话复用身份绑定nodejs-private/node-private#9048f666925b1httpsCVE-2026-56850 PFX 对象数组 Agent keynodejs-private/node-private#930ad99d075b1permissionCVE-2026-58043 radix 拆分节点权限nodejs-private/node-private#91161222008b7permissionCVE-2026-58039 报告输出路径校验nodejs-private/node-private#9083cb607dfc4permissionCVE-2026-56847 trace events 写权限nodejs-private/node-private#924d08fde8a16sqliteCVE-2026-58041 tag store 迭代器失效nodejs-private/node-private#896b3fbb6e11fzlibCVE-2026-58045 越界写缓冲区抛错nodejs-private/node-private#931发布公告的生成链路脚本如何拼装这一页在 nodejs.org 网站仓库中这类发布公告并非纯手工编写而是由脚本从上游数据自动拼装。核心逻辑位于 apps/site/scripts/release-post/index.mjs通过命令行参数指定版本号如node index.mjs 26.5.1若省略则自动从https://nodejs.org/dist/index.json拉取最新版本fetchDocs并行执行五个数据获取任务changelog 正文、作者信息、版本策略Current/LTS、SHASUMS 校验和、下载链接可用性校验fetchChangelogBody、fetchAuthor、fetchVersionPolicy、fetchShasums、verifyDownloadschangelog 正文从 nodejs 主仓库的CHANGELOG_V26.md中按a id26.5.1/a锚点正则截取对应版本小节作者、版本策略同样通过正则从该小节头部解析findAuthorLogin、fetchVersionPolicy下载链接通过 apps/site/scripts/release-post/downloadsTable.mjs 的 URL 模板按版本号渲染并用 HEAD 请求逐一验证不可用的链接会标记为*Coming soon*所有数据交给 template.hbsHandlebars 模板渲染再经 Prettier 格式化后写入pages/en/blog/release/v26.5.1.md。模板渲染出的结构与 v26.5.1 文档完全对应frontmatter日期、分类、标题、布局、作者→ changelog 正文 → 下载链接列表 → 文档链接 → SHASUMS 代码块。这正是本文所读文档的直接来源。下载与完整性校验实战v26.5.1 为全平台提供了安装包与二进制核心产物包括Windows64 位安装器node-v26.5.1-x64.msi、ARM64 安装器node-v26.5.1-arm64.msi、win-x64/node.exe与win-arm64/node.exe二进制macOSnode-v26.5.1.pkg安装器、Apple Silicondarwin-arm64与 Inteldarwin-x64二进制Linuxx64、PPC LEppc64le、s390x、ARMv8arm64二进制其他AIX ppc64 二进制、源码包node-v26.5.1.tar.gz。从 downloadsTable.mjs 的源码可见下载项列表会根据版本号动态裁剪例如 26.x 已不再提供 Windows 32 位安装器 23.0.0起移除与 ARMv7 32 位二进制 24.0.0起移除这与 v26.5.1 文档中未列出这些平台的现象一致。安装/更新完成后可用以下方式验证二进制与 SHASUMS 的一致性文档中-----BEGIN PGP SIGNED MESSAGE-----至-----END PGP SIGNATURE-----之间的内容即为官方 PGP 签名的 SHA256 校验和文件建议按官方指引先验证签名再核对哈希# 下载 SHASUMS256.txt.asc 并校验 PGP 签名需先导入 Node.js 发布密钥 gpg --verify SHASUMS256.txt.asc # 核对本地下载文件的 SHA256 是否与清单一致 shasum -a 256 node-v26.5.1-linux-x64.tar.xzSHASUMS 清单速览v26.5.1 的部分关键产物 SHA256 校验和如下完整清单见 v26.5.1.md 正文node-v26.5.1.tar.gz1143281232fc4640188aaa20afb0f9c4f06031f554cd3f1e5ac86e8a0387511anode-v26.5.1-linux-x64.tar.xzcc7b3484ade63bd203a9d304f21ec37a3b622b988d7bdecf1dc4d68fc44a91b7node-v26.5.1-darwin-arm64.tar.gzf4387df0b46556516d19abf2f2d6806481ac8368aa7f9d96bafed422a56a1d01node-v26.5.1-x64.msi826a4551bb9d3c00c61c17a2521a1e901ac7304e3090a3c2d07c1e0fe2b4d60dnode-v26.5.1.pkgae175856e12aadc081a539af37a70a71d3233b2e710fa00266137e23e24faca2漏洞数据如何被官网聚合与展示除了发布公告本身nodejs.org 还通过 Security Working Group 的漏洞数据源驱动安全信息的展示。核心逻辑在 apps/site/next-data/generators/vulnerabilities.mjs从漏洞源拉取 JSON 后将每条漏洞按其vulnerable字段中声明的影响版本支持12.x、0.10.x、6.0.0 6.2.0、 10、 5等写法解析并归组到对应主版本//归入指定主版本则展开为该主版本以下的全部主版本归组结果通过 apps/site/next-data/providers/vulnerabilities.ts 以 Reactcache包装后供各页面复用。对应的解析规则由tests/vulnerabilities.test.mjs 中的 9 个用例覆盖验证包括空数据、非数字版本忽略、0.x版本、区间展开等边界情况。这类聚合数据最终会呈现在下载页、版本列表等处帮助用户在选版时一眼判断某主版本是否受已知 CVE 影响。发布信息在官网页面中的关联入口下载页 apps/site/pages/en/download/current.mdx 中版本相关链接组件与发布公告形成了闭环BlogPostLink.tsx 从ReleaseContext读取当前版本并生成指向/blog/release/v{version}的链接——即本文所读的 v26.5.1 公告页面ChangelogLink.tsx 则链接到上游 changelog与发布公告互为补充版本下拉框、各平台/安装方式/包管理器选择器VersionDropdown、OperatingSystemDropdown、PackageManagerDropdown等组件位于 apps/site/components/Downloads/Release 目录为发布信息提供了交互式入口。这意味着开发者从官网下载页看到的“此版本公告”链接最终指向的正是 v26.5.1 这类 markdown 发布文档二者由BlogPostLink组件在运行时动态拼接。升级建议与安全应对针对 v26.5.1 安全版本建议如下正在使用 26.x Current 分支的开发者应尽快升级至 v26.5.1尤其是暴露 HTTP/2、HTTPS、HTTP 服务或启用了 Permission Model 的应用本次 2 个高危漏洞均集中于此使用node:sqlite、dns.resolveAny、zlib 压缩场景的应用也应关注对应的中危修复若无法立即升级可结合 vulnerabilities.mjs 中呈现的影响版本范围评估自身是否处于受影响区间并临时收紧 HTTP 头数量限制、禁用不必要的 trace events 等缓解措施升级后通过上述 SHASUMS 校验流程确认二进制完整性避免供应链风险。总结Node.js 26.5.1 作为 2026 年 7 月的安全专版通过 11 个 CVE 修复与 llhttp/undici 两个依赖升级覆盖了从 HTTP/2 流控制、权限模型绕过、TLS 会话复用到 SQLite 迭代器生命周期等一系列安全问题。在 nodejs.org 仓库中这份发布公告经由 release-post 脚本 自动拼装 changelog、SHASUMS 与下载链接而成并与其下载页组件、漏洞聚合生成器共同构成了“发布→校验→展示→查询”的完整安全信息闭环值得关注 Node.js 版本安全动态的开发者持续跟踪。【免费下载链接】nodejs.orgThe Node.js® Website项目地址: https://gitcode.com/GitHub_Trending/no/nodejs.org创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考