在这次红队测试中，我们还在 Brotli 中发现了一个漏洞，可导致未经身份验证的远程代码执行——Brotli 是一个被广泛部署的压缩库
OpenAI 在红队测试中发现了 Brotli 压缩库的一个漏洞，可导致未经身份验证的远程代码执行。Brotli 被广泛部署在 Node.js、Bun、Envoy 等软件中；未打补丁且接受压缩输入的服务器可被恶意客户端接管，反之亦然（例如「curl --compressed」）。该缺陷早在二月已在上游修复，但当时未被认定为安全漏洞，如今 Brotli 发布了新版本并分配了 CVE，下游项目也正在发布安全更新。由于 Brotli 嵌入在整个软件栈中，一个被广泛内置的库就能让大量系统同时暴露在风险下，这正是它的重要性。
报道来源
- OpenAI2026-10-23 22:55