Исследователи JFrog в разборе от 25 октября показали, что ошибка Brotli, известная как Node2Shell, достижима через обработку файлов. Специально подготовленное изображение JPEG XL вызвало повреждение памяти и аварийное завершение FFmpeg — инструмента обработки аудио и видео. Это проверенный путь через медиабиблиотеку, а не предположение по списку зависимостей.

FFmpeg передаёт изображение библиотеке libjxl, которая распаковывает сжатые метаданные через Brotli. В опыте вредоносные данные находились именно там, внутри корректной внешней структуры файла. JFrog смогла повлиять на значение повреждённого указателя, но отдельно оговаривает: выполнение чужого кода потребовало бы дальнейшей разработки атаки и зависело бы от сборки и её защиты.

Другой результат получен с Apache Arrow, используемой для обработки данных: небольшой вход заставлял уязвимый декодер бесконечно работать, занимая процессор и не завершая задачу. Исправленная Brotli 1.2.1 отвергала этот ввод менее чем за секунду. Это лабораторные результаты; число реально пострадавших систем отчёт не устанавливает.

Ранее опыт Imperva показал выполнение кода в определённой сборке Node.js через HTTP. Новые проверки расширяют картину: опасный декодер может скрываться за обработкой изображения или набора данных. Исправления Node.js недостаточно для отдельной программы, которая содержит собственную уязвимую копию Brotli; при этом само наличие библиотеки ещё не доказывает доступность опасного пути внешнему атакующему.