Node.js Blog

Node.js 26.3.1 (Current)

6.0内容质量

TL;DR · AI 摘要

Node.js 26.3.1 是一个安全更新版本，修复了多个高危和中危漏洞。

核心要点

  • Node.js 26.3.1 修复了多个高危漏洞，包括 CVE-2026-48618 和 CVE-2026-48933。
  • 本次更新涉及 tls、crypto、http2 等模块的安全性改进。
  • 修复的漏洞包括防止内存无限制增长、保护 WebCrypto 加密输出长度等。

结构提纲

按章节快速跳转。

  1. §版本发布

    Node.js 26.3.1 是一个安全更新版本，发布于 2026 年 6 月 18 日。

  2. ·安全更新

    本次更新修复了多个高危和中危漏洞，涉及 tls、crypto、http2 等模块。

  3. ›关键修复

    修复包括防止内存无限制增长、保护 WebCrypto 加密输出长度等。

  4. ·提交记录

    本次更新包含多个提交，涉及依赖项更新和漏洞修复。

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • Node.js 26.3.1 安全更新
    • 版本信息
      • 发布日期：2026-06-18
      • 版本号：26.3.1
    • 安全修复
      • 修复高危漏洞：CVE-2026-48618
      • 修复中危漏洞：CVE-2026-48933
      • 防止内存无限制增长
    • 提交记录
      • 更新 llhttp 到 9.4.2
      • 更新 undici 到 8.5.0

金句 / Highlights

值得收藏与分享的关键句。

#Node.js#安全更新#漏洞修复
打开原文

Node.js — Node.js 26.3.1 (Current)

Node.js 26.3.1 (Current)

ADH

Antoine du Hamel

Node.js 26.3.1 (Current)

2026-06-18, 版本 26.3.1 (Current), @aduh95

这是一个安全更新。

重要变更

  • (CVE-2026-48615) lib,test：在隧道错误中隐藏代理凭据（Matteo Collina）– 中
  • (CVE-2026-48619) http2：限制 originSet 大小以防止无限制内存增长（Matteo Collina）– 中
  • (CVE-2026-48928) tls：修复 SNI 上下文匹配的大小写敏感问题（Matteo Collina）– 中
  • (CVE-2026-48930) dns,net：拒绝包含嵌入式 NUL 字节的主机名（Matteo Collina）– 中
  • (CVE-2026-48934) tls：将可重用会话绑定到已认证的主机（Matteo Collina）– 中
  • (CVE-2026-48617) permission：在 writereport 上处理 process.chdir（RafaelGSS）– 低
  • (CVE-2026-48931) http：修复 http.Agent 中的响应队列中毒问题（Matteo Collina）– 低
  • (CVE-2026-48935) permission：使用权限模型禁用 FileHandle utimes（RafaelGSS）– 低
  • (CVE-2026-48936) permission：使用 net 范围保护管道打开和 chmod（RafaelGSS）– 低

提交记录

  • [ 98fbc89211 ] - (CVE-2026-48933) crypto : 保护 WebCrypto 加密输出长度 (Filip Skokan) nodejs-private/node-private#878
  • [ 110840f2c7 ] - deps : 将 llhttp 更新至 9.4.2 (Antoine du Hamel) nodejs-private/node-private#890
  • [ 8d36d522b2 ] - deps : 将 undici 更新至 8.5.0 (Node.js GitHub Bot) #63903
  • [ 2e6d03993a ] - deps : 将 undici 更新至 8.4.0 (Node.js GitHub Bot) #63779
  • [ 5a17d5b07a ] - deps : 为 openssl-3.5.7 更新 archs 文件 (Node.js GitHub Bot) #63820
  • [ 362725d4e5 ] - deps : 将 openssl 源代码升级至 openssl-3.5.7 (Node.js GitHub Bot) #63820
  • [ bd1214ab01 ] - (CVE-2026-48930) dns,net : 拒绝包含嵌入式 NUL 字节的主机名 (Matteo Collina) nodejs-private/node-private#868
  • [ bc0b53813e ] - (CVE-2026-48931) http : 修复 http.Agent 中的响应队列中毒问题 (Matteo Collina) nodejs-private/node-private#846
  • [ 87d847bc70 ] - (CVE-2026-48619) http2 : 限制 originSet 大小以防止无限制内存增长 (Matteo Collina) nodejs-private/node-private#855
  • [ 9308084fcb ] - (CVE-2026-48615) lib,test : 在隧道错误中隐藏代理凭据 (Matteo Collina) nodejs-private/node-private#867
  • [ a67dd46891 ] - (CVE-2026-48936) permission : 使用 net 范围保护管道打开和 chmod (RafaelGSS) nodejs-private/node-private#885
  • [ 7057c3f16c ] - (CVE-2026-48935) permission : 使用权限模型禁用 FileHandle utimes (RafaelGSS) nodejs-private/node-private#873
  • [ 6bc17a6b51 ] - (CVE-2026-48617) permission : 在 writereport 上处理 process.chdir (RafaelGSS) nodejs-private/node-private#870
  • [ c8668beff8 ] - test : 添加会话重用主机验证回归测试 (Matteo Collina) nodejs-private/node-private#854
  • [ d1be630415 ] - (CVE-2026-48934) tls : 将可重用会话绑定到已认证的主机 (Matteo Collina) nodejs-private/node-private#854
  • [ a14c158bb3 ] - (CVE-2026-48928) tls : 修复 SNI 上下文匹配的大小写敏感问题 (Matteo Collina) nodejs-private/node-private#857
  • [ ebda73470d ] - (CVE-2026-48618) tls : 为服务器身份检查标准化主机名 (Matteo Collina) nodejs-private/node-private#869

Windows 64 位安装程序: https://nodejs.org/dist/v26.3.1/node-v26.3.1-x64.msi Windows ARM 64 位安装程序: https://nodejs.org/dist/v26.3.1/node-v26.3.1-arm64.msi Windows 64 位二进制文件: https://nodejs.org/dist/v26.3.1/win-x64/node.exe Windows ARM 64 位二进制文件: https://nodejs.org/dist/v26.3.1/win-arm64/node.exe macOS 64 位安装程序: https://nodejs.org/dist/v26.3.1/node-v26.3.1.pkg macOS Apple Silicon 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-darwin-arm64.tar.gz macOS Intel 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-darwin-x64.tar.gz Linux 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-linux-x64.tar.xz Linux PPC LE 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-linux-ppc64le.tar.xz Linux s390x 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-linux-s390x.tar.xz AIX 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-aix-ppc64.tar.gz ARMv8 64 位二进制文件: https://nodejs.org/dist/v26.3.1/node-v26.3.1-linux-arm64.tar.xz 源代码: https://nodejs.org/dist/v26.3.1/node-v26.3.1.tar.gz 其他发布文件: https://nodejs.org/dist/v26.3.1/ 文档: https://nodejs.org/docs/v26.3.1/api/

SHASUMS

code
-----BEGIN
PGP
SIGNED
MESSAGE-----
哈希值：
SHA256
8c0ef7465b17c31d6bfaea84d5b8d62944b543dcd2df42933aa0bff4771ebc5c
node-v26.3.1-aix-ppc64.tar.gz
bd0c50afcc7140b64b12e24f73f0681d68f84205575893561e6344dc09b71fc7
node-v26.3.1-arm64.msi
3f624ab0d774553c0d28b968e141d8c676a35a2811fb0b7b356ba9cbdce15f74
node-v26.3.1-darwin-arm64.tar.gz
49aca22a8c2992c16688baa512a7b00c41a4608e9675fcaa81534767bf1116ce
node-v26.3.1-darwin-arm64.tar.xz
3ec9e5a28c641c088f3d04ad38721bfdedb2f8aa8c031979fa93df08b5a92e58
node-v26.3.1-darwin-x64.tar.gz
dac58e340c721332d331a44c9ee2e126b26632c42d3028eb2ceb5c3f218798fa
node-v26.3.1-darwin-x64.tar.xz
a0fbaa7136174fa7533f6178c2331ffbaad5f25e9fd2e610fc3961b57fd5acae
node-v26.3.1-headers.tar.gz
e84075cd1296f089ad17bc87d34cea964bad7f1018378656af16d494adf91d1a
node-v26.3.1-headers.tar.xz
2f0829b201e9db20996ae15bce62138df1e3d317775b005778b05cf7b19714f1
node-v26.3.1-linux-arm64.tar.gz
c021380e64d1314d1218ab1f31e0f5b0f28f1f54ac779ef72a16c2bda0ca5c30
node-v26.3.1-linux-arm64.tar.xz
276d72c00b4cfedf3bc45bde6d1bd0a18e8c846ed150a5381c528112fa0ccabd
node-v26.3.1-linux-ppc64le.tar.gz
ec83deb41569e3896e8c4af4986c76dc0bf4e0eb909643b364d38e8a9f9f9091
node-v26.3.1-linux-ppc64le.tar.xz
740d35affe20683d244e494e0cc9710a91c1c6039ffdd0ed9f7d110c998bd23c
node-v26.3.1-linux-s390x.tar.gz
e8aece0730dc3dc808d66f8a8b8a6f87354ac941dfaa3a59a27022b2435abbcd
node-v26.3.1-linux-s390x.tar.xz
e892cd615e637edebcf22f9653d80fba63167ad6754d20881fd52cc37be81441
node-v26.3.1-linux-x64.tar.gz
55647180e4ae58ffeaa3294e89aa4abda7c371dfbd64b44cbdb022980177aae0
node-v26.3.1-linux-x64.tar.xz
40e8d2ad0a4f543c5e283ca0074ce8ea327062d448bf84f3cdfda27e736fbde8
node-v26.3.1-win-arm64.7z
021eb7de1d5257b24765f292dfcb469ff1528c29d88f48c875befb28114fb0fb
node-v26.3.1-win-arm64.zip
35c2ce21f7b0ea776b139cecc052641653abc31fb438cb17d096af7a9277d706
node-v26.3.1-win-x64.7z
45001b289ebffe7b22260898f3750059183d824604