这个是开源的吧，应该要等第三方修复了。我这边用的别人服务器，php 的漏洞都还没修……赶紧迁移新版吧，另外好像买 linux 的付费服务，也会提供补丁。
2# 奔跑的蜗牛 2026 年 10 月 26 ，nodejs 官方发布了新的漏洞更新版本 （ https://nodejs.org/en/blog/vulnerability/october-2026-security-releases ，里面最严重的应该算这个 Node.js Brotli decoder out-of-bounds write permits remote code execution (CVE-2026-111497) - (high)。官方解决方案是升级到 nodejs v24.22 ，如果生产环境版本低于 22 比如是 18.18 ，而且近期也不能直接升级到最新版本的话，你们有啥解决方案吗？直接网关上拒绝压缩请求，比如 istio 上加 rule 是否可以？以下是 rule 的 example：
apiVersion: security.istio.io/v1kind: AuthorizationPolicymetadata: name: deny-brotli-request namespace: istio-systemspec: selector: matchLabels: app: istio-ingressgateway action: DENY rules: - when: - key: request.headers[content-encoding] values: - "br"
⚠️内容来自互联网，如有侵权请点击反馈！侵权投诉
3# SYS宇晖 拦的方向对，但要注意这洞是解压请求体触发的??。
[这只是一个小尾巴]
4# joker 这个不是修复了吗？ https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
5# 江户川柯南 @yeyeye istio 是开源，但是配置文件我可以加上防止 brotli 解包的操作。
@xianyutian 官方用新版本 v24.22 修复，但是我这生产上是 18.18 ，不能直接升级，所以在看短期方案