你是不是刚写完代码，正准备发布？

别急！

先kankan这个——Node.js官方Zui近发疯似的推补丁了。

那什么那什么...

TLS PSK/ALPN 回调中同步异常会绕过错误处理，导致崩溃或 fd 泄漲。

fs.futimes 可绕过只读权限修改文件时间戳。

使用精心构造的相对路径符号链接，可绕过 --allow-fs-read / --allow-fs-write 权限限制，实现任意文件读写。

哇靠！

这dou什么玩意儿啊？

"其实吧..."

"百度爬虫它不傻啊..."

"要是你内容太垃圾..."

"或者网站加载慢得像老牛..."

"再或者被某些'友好'脚本感染了..."

修复版本： 年 月 日之后发布的Zui新 .x / .x / .x / .x 版本

累计修复：个高危、个中危和个低危严重性的漏洞

影响范围：所有活跃分支 .x、.x、.x、.x

核心依赖geng新：c-ares 和 undici

Timeout导致Buffer.alloc/Uint8Array可Neng分配未清零内存

HTTP/服务器收到畸形HEADERS帧时直接抛出TLSSocket错误导致进程崩溃

async_hooks场景下栈溢出错误无法被捕获直接终止进程

"你们kankan这个Buffer泄露..."

"那啥...说好的内存安全呢？"

"权限模型下Unix Domain Socket未受--allow-net限制"

"哇靠！这不就是后门嘛..."

"HTTPS服务没加error监听..."

"直接崩掉你懂吗？！"

"async_hooks场景下栈溢出..."

" 谁设计出来这种玩意儿啊？！ "

" 呵呵... "

" "

" "

" 强烈建议生产环境尽快升级到Zui新版本 "

" 特别是HTTPS服务要关注error监听! "

" "

" async_hooks DoS缓解方案也要注意! "

" 安全第一啊朋友们! "

" "

哈哈~反正大家记住就行!还Neng写一大堆啰嗦的话吗?当然Neng!但今天就到这里啦~拜拜!