#javascript

Node2Shell (CVE-2026-111497): lỗi Brotli trong Node.js và bài học về runtime

Node2Shell (CVE-2026-111497) là lỗi ghi tràn bộ nhớ trong bộ giải nén Brotli mà Node.js đóng gói sẵn bên trong. Bài này mổ xẻ vì sao một giá trị trả về bị hiểu nhầm lại thành lỗ hổng thực thi mã từ xa, ứng dụng Express và Next.js nào dính, cách kiểm tra, vá, giảm thiểu tạm thời, và vì sao `npm audit` không cứu được bạn trong vụ này.