Rebuild and publish postgres-meta to patch Node.js Brotli vulnerability (CVE-2026-111497)

Aperta Adatta ai principianti
  • Qualcosa non va?
#1,173 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
73/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
docker, node.js, typescript
Ambito
backend, devops

Direzione di ricerca

Inizia individuando la configurazione di build e rilascio Docker per l’immagine meta, quindi verifica come viene selezionata la sua versione di Node.js. Ricostruisci e pubblica l’immagine con Node.js 22.23.4 o una versione successiva; verificala con il comando Docker dell’issue e conferma che indica il runtime corretto con la patch.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

bug

Bug report

  • I confirm this is a bug with Supabase, not with my own application.
  • I confirm I have searched the Docs, GitHub Discussions, and Discord.

Describe the bug

The latest docker image supabase/postgres-meta:v0.100.0 (which is used by self-hosted/v0.8.3) is built prior to the October 21, 2026 Node.js security patch for CVE-2026-111497 (Critical CVSS 9.2 Brotli libbrotlidec out-of-bounds heap write / RCE affecting Node.js < 22.23.4 and < 24.22.1).

supabase/postgres-meta:v0.100.0 does not yet have a rebuilt image tag with Node.js 22.23.4.

To Reproduce

Steps to reproduce the behavior:

  1. Pull the latest image:
docker pull supabase/postgres-meta:v0.100.0
  1. Check the containers for the Node.js CVE-2026-111497 patch constant (zlib.constants.BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH === -17):
docker run --rm supabase/postgres-meta:v0.100.0 node -p "zlib.constants.BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH === -17 ? 'PATCHED' : 'VULNERABLE (' + process.version + ')'"
  1. See output confirming unpatched runtimes:
VULNERABLE (v22.23.3)

Expected behavior

  1. Rebuild and publish a new supabase/postgres-meta release using Node.js >= 22.23.4.
PATCHED (v22.23.4)

System information

  • OS: Linux (Docker self-hosted)
  • Version of Node.js inside containers:
  • supabase-meta (v0.100.0): v22.23.3
Lingua principale
TypeScript
Stelle
1.3k
Fork
231
Merge medio
3h 11m
PR unite (30g)
1

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di supabase/postgres-meta

Tutte le issue di supabase/postgres-meta

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.