2026年6月下旬，Node.js官方发布了全版本安全补丁，共计修复12个CVE漏洞，其中包括2个高危漏洞。这一更新覆盖了Node.js 18.x、20.x、22.x和24.x所有当前维护的版本线，建议所有Node.js后端项目立即评估升级。
高危漏洞详情
本次修复的两个高危漏洞涉及HTTP模块和权限模型。HTTP模块的漏洞可能允许攻击者通过特制请求绕过安全限制，在特定条件下实现请求走私（Request Smuggling）。权限模型漏洞则影响了Node.js 20.x及以上版本中引入的实验性Permission Model特性，可能允许非授权文件访问。
其余10个中低危漏洞涵盖了DNS模块的缓存中毒风险、undici HTTP客户端的请求伪造、以及多个内部模块的边界条件处理问题。虽然单个中低危漏洞的利用难度较高，但在组合攻击场景下仍可能构成威胁。
升级建议
对于生产环境的Node.js应用，建议采取以下步骤：首先，使用node -v确认当前版本；其次，在测试环境中升级到对应版本线的最新补丁版本（如v18.20.x、v20.18.x、v22.14.x、v24.6.x）；最后，运行完整的回归测试后再推送到生产环境。特别提醒使用Express、Fastify、Koa等Web框架的项目，HTTP模块漏洞可能影响所有依赖Node.js原生HTTP模块的框架。
小编有话说
安全补丁是后端运维中最容易被「等等再升级」的事项，但也是风险最高的延迟。建议将Node.js版本更新纳入常规维护周期，而不是等到安全公告出来才紧急处理。如果你的项目还停留在Node.js 16或更早版本，现在是一个升级到LTS版本线的好时机——毕竟旧版本已经不再接收安全更新。
评论 (0)