Actualización de seguridad (CVE-2026-111497): vulnerabilidad de Node.js corregida

Queremos informarle de que el 21 de octubre de 2026, el proyecto Node.js publicó actualizaciones de seguridad para una vulnerabilidad de gravedad alta, CVE-2026-111497, en la biblioteca de descompresión Brotli que se incluye con Node.js.

Si una aplicación descomprime datos Brotli creados por un atacante, este podría corromper la memoria de la aplicación y ejecutar su propio código dentro de ella. Esta vulnerabilidad afecta a todas las aplicaciones que se ejecutan en una versión de Node.js sin parchear, incluidas todas las versiones que han llegado al fin de vida, como Node.js 20 y anteriores. No es específica de Catalyst by Zoho.

Cómo lo hemos corregido

Hemos actualizado los runtimes gestionados de Node.js de Catalyst a las versiones parcheadas:

Esta corrección se aplica a Functions de Catalyst, AppSail (runtimes gestionados por Catalyst), los builds de Slate y la imagen predeterminada que usa Pipelines de Catalyst, que ahora ejecuta Node.js 24.

Catalyst by Zoho ha aplicado estos parches de seguridad solo a los runtimes gestionados por Catalyst que no han llegado al fin de vida, según se describe en la Política de soporte de runtimes de lenguaje. Los runtimes que han llegado al fin de vida y los runtimes personalizados no reciben estos parches.

Si utiliza un runtime que ha llegado al fin de vida, actualícelo a un runtime con soporte y vuelva a desplegar su aplicación. Los parches se aplicarán automáticamente. Como los runtimes personalizados ejecutan sus propias imágenes de contenedor, debe aplicar los parches usted mismo.

Qué debe hacer

Compruebe el runtime de su aplicación

Para confirmar la versión de Node.js que usa su función o servicio de AppSail, escriba el valor de process.version en los logs desde su código. Si la versión es anterior a v22.23.4 en Node.js 22, o anterior a v24.22.1 en Node.js 24, realice las acciones correspondientes que se indican a continuación.

1. Vuelva a desplegar sus Functions, servicios de AppSail y aplicaciones de Slate en Node.js

Si su aplicación ya está en ejecución o se compiló antes de esta actualización de seguridad, sigue usando la versión anterior. Vuelva a desplegar su aplicación para que use la versión parcheada.

Desde la consola de Catalyst:

• Functions: Vaya a Serverless → Functions, abra su función, haga clic en el icono ⋯ de la parte superior derecha, luego en Update y, por último, en Save. Obtenga más información sobre cómo actualizar una función.

  

• AppSail: Vaya a Serverless → AppSail, abra su servicio y haga clic en Create Deployment. Mantenga su Stack actual, cargue el archivo de build (ZIP) de su aplicación en Build File y haga clic en Create. Obtenga más información sobre cómo crear un nuevo despliegue.

  

  

• Slate: Vaya a Slate y haga clic en su aplicación para expandirla; luego haga clic en App Settings. Expanda Framework and command, haga clic en Edit, seleccione Node 22 en el desplegable de runtime y haga clic en Update. Obtenga más información sobre cómo actualizar el runtime de Node.js de una aplicación. Cambiar el runtime no vuelve a compilar su aplicación, así que vuelva a desplegarla:

  

  

  • Aplicaciones conectadas a Git: Haga clic en Create Deployment o haga push de un nuevo commit a su repositorio. Con Auto Deploy activado, se despliega automáticamente.

  • Aplicaciones cargadas: Haga clic en Re-Upload en la pantalla Overview de la aplicación y cargue su aplicación.

    

Desde la CLI: Ejecute catalyst deploy desde el directorio de su proyecto. Esto despliega Functions, AppSail y Slate a la vez. Para desplegar solo Slate, ejecute catalyst deploy slate. Obtenga más información sobre las opciones de despliegue y cómo desplegar en Slate.

2. Deje de usar versiones de Node.js anteriores a la 22

Node.js 20 llegó al fin de vida el 30 de abril de 2026, y el proyecto Node.js no publicará una corrección para esa versión. Catalyst no parcheará ningún runtime de Node.js anterior a Node.js 22 (Node.js 20, 18, 16 y anteriores). Consulte las deprecaciones de runtimes de Node.js para ver el calendario.

Si sus Functions, servicios de AppSail o aplicaciones de Slate usan alguna de estas versiones, actualícelas a una versión con soporte: Node.js 22 o 24 para Functions y AppSail, y Node.js 22 para Slate.

Desde la consola de Catalyst:

• Functions: Use ⋯ → Update, seleccione la nueva versión del runtime en el desplegable Stack y haga clic en Save.

  

• AppSail: Abra su servicio, haga clic en Create Deployment, seleccione Node 24 o Node 22 en el desplegable Stack, cargue su archivo de build y haga clic en Create.

• Slate: Siga los pasos de Slate del paso 1, seleccione Node 22 y vuelva a desplegar su aplicación.

Desde la CLI: Cambie el valor de stack en el archivo catalyst-config.json de su función o en el archivo app-config.json de su servicio (por ejemplo, node24); luego pruebe su aplicación y ejecute catalyst deploy.

3. Vuelva a compilar los contenedores personalizados

Si despliega su propia imagen Docker u OCI en AppSail, vuelva a compilarla sobre una imagen base de Node.js parcheada y vuelva a desplegarla.

4. Revise sus Catalyst Pipelines

Si sus pipelines usan la imagen predeterminada, no necesita hacer nada. Ahora ejecuta una versión parcheada de Node.js 24 (antes, Node.js 18).

Si especifica su propia imagen en catalyst-pipelines.yaml (por ejemplo, image: node:20), actualícela a una imagen de Node.js parcheada, como node:24 o node:22, y vuelva a ejecutar su pipeline.

5. Actualice Node.js en su equipo

La CLI de Catalyst y sus builds locales usan el Node.js instalado en su equipo y en sus pipelines de CI. Actualícelo a Node.js 22.23.4, 24.22.1 o posterior. Puede comprobar su versión actual con:

node -v

Si tiene preguntas o necesita ayuda con la actualización, escríbanos a support@zohocatalyst.com.