Node.js Brotli RCE 曝光，为什么评论区只有零？

你上次检查 Node.js 的压缩依赖是什么时候？一个名为 CVE-2026-111497 的漏洞曝光了 Node.js 内置 Brotli 模块的远程代码执行风险。这不是理论攻击——RCE 意味着只要服务端处理压缩数据，攻击面就打开了一条通往 shell 的缝隙。Vercel 已经发了安全公告，但 Hacker News 上评论为零，热度只有四点，这种冷淡反应才是真正让人不安的地方。安全社区对压缩库漏洞的警觉性，似乎总赶不上下一轮利用的发布速度。

原文：Node.js Brotli RCE (CVE-2026-111497) · 来源：Hacker News