Node.js corrige 16 falhas, incluindo bugs no HTTP/2 que derrubam servidores e vazam dados de outros usuários

O Node.js acabou de lançar uma atualização de segurança de peso: 16 vulnerabilidades corrigidas nas linhas 22.x, 24.x e 26.x, sendo sete classificadas como de severidade alta. As versões corrigidas são 22.23.5, 24.22.3 e 26.13.1, e o projeto afirma que atualizar é a única solução disponível.

Os destaques são realmente graves. Uma falha permite que um cliente não autenticado derrube qualquer servidor HTTP/2 padrão, inclusive em conexões sem TLS. Outra pode fazer o servidor devolver pedaços da própria memória, incluindo respostas destinadas a outras conexões. Há ainda um bug em servidores HTTPS capaz de expor memória com chaves privadas TLS e requisições de outros usuários, além de falhas que causam esgotamento permanente de recursos, corrupção de memória durante streaming de arquivos e brechas em regras de certificados TLS.

Para quem roda Node.js em produção, é hora de parar tudo e aplicar o patch. Linhas fora de suporte, como 20.x e 25.x, não recebem correção alguma, um lembrete duro de quanto da web moderna depende de stacks abandonadas. Se você lida com tráfego sensível, combine a rotina de atualização com bons hábitos de criptografia, como uma VPN confiável, e revise cada endpoint exposto hoje mesmo.