У вбудованому в Google декодері стиснення Brotli виявлено критичну вразливість пам’яті (CVE-2026-111497), яка раніше призвела до віддаленого виконання коду в Node.js. Проблема також впливає на середовище виконання Bun, проксі Envoy, Istio та пакети python-brotli.

Помилка виникає під час обробки спеціально сформованих заблокованих даних з заголовком Content-Encoding: br, що дозволяє перезаписувати буфер пам’яті та викликати аварійне завершення роботи або потенційне виконання довільного коду на серверах і клієнтах.