Nicht bewertet

Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package

Veröffentlicht: 23.10.2026
Aktualisiert: 23.10.2026 16:17

CVE-2026-111497 ("Node2Shell") is an out-of-bounds write (CWE-787) in Google's Brotli decoder (c/dec/decode.c). DecodeBlockTypeAndLength() returns an ambiguous value for an invalid block switch, and the fast decode path discards it (CWE-252, unchecked return value), so a crafted Brotli stream makes the decoder continue on corrupted state and write past the ring buffer. Upstream rates it CVSS 4.0 9.2 and classifies the impact as potential remote code execution.

The vulnerability is in Google's C library, not in Node.js specifically. The PyPI Brotli package is Google's CPython binding and compiles the same c/dec/decode.c that has the actual vulnerability. All Brotli releases up to and including 1.2.0 ship the vulnerable decoder; 1.2.1 contains the upstream fix (commit 0ed4268a) and differs from 1.2.0 only in that fix plus a version bump.

The decoder is reached whenever untrusted Brotli data is decompressed. With Brotli installed, common HTTP clients decode Brotli responses automatically (urllib3/requests, httpx with the brotli extra, aiohttp) and services that accept Content-Encoding: br request bodies decode inbound data, so the flaw is reachable from attacker-controlled input.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	brotli	< 1.2.1	1.2.1
Python (PyPI)	brotlicffi	< 1.2.1.0	1.2.1.0

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Schwäche (CWE): -
Plattform: Python (PyPI)
Paket: brotli, brotlicffi
Veröffentlicht: 23.10.2026
Aktualisiert: 23.10.2026 16:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-4323 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-4322 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: brotli

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 3
Erste → letzte: 09.2020 10.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1
Nicht bewertet 1

Veröffentlichungen pro Jahr

2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 1

23.10.2026

Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package dieser Eintrag

Nicht bewertet CVE-2026-111497 < 1.2.1 1.2.1
31.10.2025

Scrapy is vulnerable to a denial of service (DoS) attack due to flaws in brotli decompression implementation

Hoch · 7.5 CVE-2025-6176 < 1.2.0 1.2.0
15.09.2020

A buffer overflow exists in the Brotli library versions prior to 1.0.8 where an attacker controlling the input length of a "one-shot" decompression request to a script can trigger a crash, which happe

Mittel · 6.5 CVE-2020-36846 < 1.0.8 1.0.8

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden