Критичний запис за межами пам’яті (out-of-bounds write) з рейтингом 9.2 у декодері Brotli від Google впливає на всі версії від 1.0.3 до 1.2.0. Node.js назвала цю вразливість Node2Shell 22 жовтня. Наступного дня за нею пішов Python, оскільки requests, httpx та aiohttp автоматично завантажують вразливий пакет. Виправлення — Brotli 1.2.1 або brotlicffi 1.2.1.0, і вам доведеться пересбирати образи, а не лише файл замків. Ось неприємна частина: бази даних вразливостей поки що не пов’язують цей CVE з пакетами PyPI, тому ваш сканер покаже, що все чисто, хоча ви залишаєтеся вразливими.