Node.js Blog

Node.js 24.17.0 (LTS)

6.0内容质量

TL;DR · AI 摘要

Node.js 24.17.0 LTS 版本发布，主要修复了多个安全漏洞，但内容以技术公告为主，缺乏深度分析。

核心要点

  • Node.js 24.17.0 LTS 版本修复了多个高危安全漏洞，包括 CVE-2026-48618 和 CVE-2026-48933。
  • 修复内容主要集中在 tls、crypto 和 http2 模块，涉及服务器身份验证、加密输出长度限制等。
  • 此次发布为安全更新，未引入新功能或重大性能改进。

结构提纲

按章节快速跳转。

  1. §版本发布

    Node.js 24.17.0 LTS 版本发布，主要为安全修复。

  2. ·安全漏洞修复

    修复了多个高危漏洞，包括 CVE-2026-48618 和 CVE-2026-48933。

  3. ›修复模块

    修复内容主要集中在 tls、crypto 和 http2 模块。

  4. ·提交记录

    列出多个提交记录，涉及漏洞修复和依赖项更新。

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • Node.js 24.17.0 LTS
    • 安全更新
      • 修复漏洞
      • CVE-2026-48618
      • CVE-2026-48933
    • 模块修复
      • tls
      • crypto
      • http2

金句 / Highlights

值得收藏与分享的关键句。

  • Node.js 24.17.0 LTS 版本修复了多个高危安全漏洞，包括 CVE-2026-48618 和 CVE-2026-48933。

    — Notable Changes

    ⬇︎ 下载 PNG𝕏 分享到 X
  • 修复内容主要集中在 tls、crypto 和 http2 模块，涉及服务器身份验证、加密输出长度限制等。

    — Notable Changes

    ⬇︎ 下载 PNG𝕏 分享到 X
  • 此次发布为安全更新，未引入新功能或重大性能改进。

    — Notable Changes

    ⬇︎ 下载 PNG𝕏 分享到 X
#Node.js#LTS#安全更新#漏洞修复
打开原文

Node.js — Node.js 24.17.0 (LTS)

Node.js 24.17.0 (LTS)

ADH

Antoine du Hamel

Node.js 24.17.0 (LTS)

2026-06-18, 版本 24.17.0 'Krypton' (LTS), @aduh95

这是一个安全更新。

重要变更

  • (CVE-2026-48618) tls: 为服务器身份检查标准化主机名 (Matteo Collina) – 高
  • (CVE-2026-48933) crypto: 限制 WebCrypto 加密输出长度 (Filip Skokan) – 高
  • (CVE-2026-48615) lib,test: 在隧道错误中隐藏代理凭据 (Matteo Collina) – 中
  • (CVE-2026-48619) http2: 限制 originSet 大小以防止无限制内存增长 (Matteo Collina) – 中
  • (CVE-2026-48928) tls: 修复 SNI 上下文匹配的大小写敏感问题 (Matteo Collina) – 中
  • (CVE-2026-48930) dns,net: 拒绝包含嵌入 NUL 字节的主机名 (Matteo Collina) – 中
  • (CVE-2026-48934) tls: 将可重用会话绑定到已认证的主机 (Matteo Collina) – 中
  • (CVE-2026-48937) deps: 修复与最新版 nghttp2 的集成问题 (Tim Perry) – 中
  • (CVE-2026-48617) permission: 在 writereport 上处理 process.chdir (RafaelGSS) – 低
  • (CVE-2026-48931) http: 修复 http.Agent 中的响应队列中毒问题 (Matteo Collina) – 低
  • (CVE-2026-48935) permission: 在权限模型中禁用 FileHandle utimes (RafaelGSS) – 低

提交记录

  • [ 9e4dfc7bba ] - (CVE-2026-48933) crypto : 限制 WebCrypto 加密输出长度 (Filip Skokan) nodejs-private/node-private#878
  • [ cb2aed980c ] - deps : 将 llhttp 更新到 9.4.2 (Antoine du Hamel) nodejs-private/node-private#890
  • [ a8a0d12875 ] - (CVE-2026-48937) deps : 修复与最新版 nghttp2 的集成问题 (Tim Perry) #62891
  • [ 66e6203c1c ] - (SEMVER-MAJOR) deps : 将 nghttp2 更新到 1.69.0 (Node.js GitHub Bot) #62891
  • [ dd627ced27 ] - deps : 为 openssl-3.5.7 更新 archs 文件 (Node.js GitHub Bot) #63820
  • [ 684bae568f ] - deps : 将 openssl 源代码升级到 openssl-3.5.7 (Node.js GitHub Bot) #63820
  • [ 3a631e7f83 ] - deps : 修复 OpenSSL 中 AIX 的隐式声明 (Abdirahim Musse) #62656
  • [ cf44df3996 ] - deps : 将 undici 更新到 7.28.0 (Node.js GitHub Bot) #63703
  • [ 138c70294b ] - (CVE-2026-48930) dns,net : 拒绝包含嵌入 NUL 字节的主机名 (Matteo Collina) nodejs-private/node-private#868
  • [ be7e719c3f ] - (CVE-2026-48931) http : 修复 http.Agent 中的响应队列中毒问题 (Matteo Collina) nodejs-private/node-private#846
  • [ cc7c11b4d1 ] - (CVE-2026-48619) http2 : 限制 originSet 大小以防止无限制内存增长 (Matteo Collina) nodejs-private/node-private#855
  • [ 9224427b92 ] - (CVE-2026-48615) lib,test : 在隧道错误中隐藏代理凭据 (Matteo Collina) nodejs-private/node-private#867
  • [ cf85d54839 ] - (CVE-2026-48935) permission : 在权限模型中禁用 FileHandle utimes (RafaelGSS) nodejs-private/node-private#873
  • [ a1bbc24f96 ] - (CVE-2026-48617) permission : 在 writereport 上处理 process.chdir (RafaelGSS) nodejs-private/node-private#870
  • [ e3723ff2d6 ] - test : 添加会话重用主机验证回归测试 (Matteo Collina) nodejs-private/node-private#854
  • [ a77af4867b ] - (CVE-2026-48934) tls : 将可重用会话绑定到已认证的主机 (Matteo Collina) nodejs-private/node-private#854
  • [ 31beb4f707 ] - (CVE-2026-48928) tls : 修复 SNI 上下文匹配的大小写敏感问题 (Matteo Collina) nodejs-private/node-private#857
  • [ 8e75c73f91 ] - (CVE-2026-48618) tls : 为服务器身份检查标准化主机名 (Matteo Collina) nodejs-private/node-private#869

Windows 64 位安装程序: https://nodejs.org/dist/v24.17.0/node-v24.17.0-x64.msi Windows ARM 64 位安装程序: https://nodejs.org/dist/v24.17.0/node-v24.17.0-arm64.msi Windows 64 位二进制文件: https://nodejs.org/dist/v24.17.0/win-x64/node.exe Windows ARM 64 位二进制文件: https://nodejs.org/dist/v24.17.0/win-arm64/node.exe macOS 64 位安装程序: https://nodejs.org/dist/v24.17.0/node-v24.17.0.pkg macOS Apple Silicon 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-darwin-arm64.tar.gz macOS Intel 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-darwin-x64.tar.gz Linux 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-linux-x64.tar.xz Linux PPC LE 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-linux-ppc64le.tar.xz Linux s390x 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-linux-s390x.tar.xz AIX 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-aix-ppc64.tar.gz ARMv8 64 位二进制文件: https://nodejs.org/dist/v24.17.0/node-v24.17.0-linux-arm64.tar.xz 源代码: https://nodejs.org/dist/v24.17.0/node-v24.17.0.tar.gz 其他发布文件: https://nodejs.org/dist/v24.17.0/ 文档: https://nodejs.org/docs/v24.17.0/api/

SHASUMS

code
-----BEGIN
PGP
SIGNED
MESSAGE-----
Hash:
SHA256
31e9fc249c74a3a6dfeca4758229f003620459b42c3749f7c423f2999d09a727
node-v24.17.0-aix-ppc64.tar.gz
adee7826d2840efd66cec5e79c9b4e151f4815ac0e24f92cf334bc28d7f1f83c
node-v24.17.0-arm64.msi
4fc3266a3702eebc39cc37661cf4eeceeade307e242ab64e4d7ce7949197e11f
node-v24.17.0-darwin-arm64.tar.gz
cf7e9152d7bd86c140f6eccf3577abfbaf8960be1ca49d9d900e8484984dcb9a
node-v24.17.0-darwin-arm64.tar.xz
80da552fe037290cb130e9dea590f5eeeb7aa450636f0c89ab41415511c1ec27
node-v24.17.0-darwin-x64.tar.gz
fe50e386f6a5e0b29ce44b989e543da9fb9a80aed0b91a2f0cb19c55106921fc
node-v24.17.0-darwin-x64.tar.xz
ac60c4ba92204658efaac112efea5d3597348b011be679af0eec324d8c08915e
node-v24.17.0-headers.tar.gz
aab64d32cd1690e4027326e746877bdac62f0a8458215241638477cbfe0a4192
node-v24.17.0-headers.tar.xz
faa0d59ba7fe7045c950ed09b190578fb8eee73e4358686d38fcc99ca58c1480
node-v24.17.0-linux-arm64.tar.gz
67324b9e515e7d13da72571a5dd522bb23145a820f7dde15497897e466759ab3
node-v24.17.0-linux-arm64.tar.xz
804ed4a1a0ef28d592408b84ac2a85e858ab9124dad933e12b4323609411b809
node-v24.17.0-linux-ppc64le.tar.gz
7657dfb803132a05cfc83353f43f603cba790e1d2366caeb36083aa8f351124b
node-v24.17.0-linux-ppc64le.tar.xz
a659e9c26fcd648f3359dbfd292f078434168040f2fb1acf3c9c1bcd3fc37b2b
node-v24.17.0-linux-s390x.tar.gz
a8e6f79fac2e17e5a9a9d479bad3b6f19921049bbb5888fa238347427502f23c
node-v24.17.0-linux-s390x.tar.xz
e0472427aa791ad80bdc426ff7cc73cdd28ed0f616d1ff9689a23a7f47f1265f
node-v24.17.0-linux-x64.tar.gz
ab343a1b747c7cbf3630dfd7dbf818c5423fab2eb4f5ad1afc896f6bd121a917
node-v24.17.0-linux-x64.tar.xz
0ef6a68334882bb74f5afd2d370cf2cdabc3ef823c8fdd649d9d779478c09607
node-v24.17.0-win-arm64.7z
4957712f67fce55779cc794d9b4df9e0e802a18c841ad5a4e42f17be490e634d
node-v24.17.0-win-arm64.zip
91382ab13fea6cfdd475fc0f5b74727c979f609a94905ae338f8b9f1cce32457
node-v24.17.0-win-x64.7z
f2aa33b35b75aca5f3f