Activepieces 0.91.4-hotfix.1 обновляет Node.js после security-релиза

Activepieces выпустила 0.91.4-hotfix.1 поверх версии 0.91.4. Единственное заявленное изменение — переход Docker-сборки на Node.js 24.22.1, закрывающий уязвимости октябрьского security-релиза Node.js.

Что исправляет обновление

Node.js 24.22.1 устраняет несколько уязвимостей ветки 24.x. Среди проблем высокой серьёзности проект перечисляет обрезку DNS-имён с нулевым байтом, обходы проверки имени хоста в TLS для нестандартно записанных IP-адресов и выход за границы буфера в декодере Brotli, который при обработке специально сформированных данных может привести к повреждению памяти, утечке данных, аварийному завершению или удалённому выполнению кода.

В релиз также вошли исправления средней серьёзности для повторного использования keep-alive-соединений, проверки сертификатов у нестандартных IPv4-адресов и кэша энтропии в startup snapshots и single executable applications. Для ветки 24.x обновлены зависимости c-ares, набор корневых сертификатов, OpenSSL и Undici.

Кого затрагивает hotfix

Изменение относится к Docker-сборке Activepieces: в release notes оно обозначено как обновление Node.js в Docker. Поэтому релиз прежде всего важен для self-hosted-развёртываний, которые используют официальный контейнерный образ. В примечании к выпуску нет других функциональных изменений и не заявлено, что перечисленные сценарии уязвимостей применимы к каждой установке Activepieces.

Что важно учесть

Activepieces обозначает выпуск как hotfix поверх 0.91.4, а не как новый функциональный релиз. Node.js оценивает максимальную серьёзность исправленных проблем в ветке 24.x как high. Подробные условия эксплуатации и затронутые API приведены в бюллетене Node.js; собственное тестирование этих сценариев Удельтой не проводилось.