Brotli
Google推出的无损压缩算法，在Web文本资源上压缩率优于gzip，通过Content-Encoding: br协商使用，解码器涉及复杂内存操作
时间轴 (近 90 天)
OpenAI红队测试发现Brotli压缩库存在无需身份验证的远程代码执行漏洞，影响Node.js、Bun和Deno等软件，已上报并获修复。
安全研究机构Aikido披露了HTTP2Shell漏洞，该漏洞编号为CVE-2026-111497，与Brotli解压缩环节相关，攻击者可能借此实现远程代码执行。
Aikido的分析指出，同类缺陷模式在Python的HTTP处理栈中同样存在，尤其是当应用使用Brotli压缩并交由底层库解压时，恶意构造的压缩数据可能触发越界或注入行为。
Brotli是Google于2015年推出的无损压缩算法，相比gzip在Web文本资源上通常有15%–25%的压缩率提升。
Brotli解码器需要维护滑动窗口、字典引用和上下文建模等状态，实现中涉及大量边界检查与内存拷贝；对畸形输入的长度字段、字典索引校验不足可能导致越界读写或整数溢出。
Aikido建议关注官方补丁与公告，并在CI流程中加入依赖扫描，因为漏洞涉及HTTP请求处理路径，即使应用不直接调用Brotli也可能通过框架默认配置被动暴露。
许多Web框架和API网关默认启用Brotli解压以优化传输，应用代码即使从未显式调用解压函数，请求体也可能在中间件层被自动解码。
仅检查业务代码中的Brotli调用并不充分，还需确认框架版本、反向代理（如Nginx、Envoy）和WSGI/ASGI服务器是否受影响，并评估关闭非必要压缩编码或限制请求体大小的缓解措施。
HTTP2Shell将HTTP/2的帧处理与Brotli解压串联起来，放大了单点缺陷的影响。
成熟的无损压缩算法（如zstd、Brotli）通常可以将英文网页文本压缩到约2-3 bpb
全部知识事实 (10)
OpenAI红队测试发现Brotli压缩库存在无需身份验证的远程代码执行漏洞，影响Node.js、Bun和Deno等软件，已上报并获修复。
50%待验证安全研究机构Aikido披露了HTTP2Shell漏洞，该漏洞编号为CVE-2026-111497，与Brotli解压缩环节相关，攻击者可能借此实现远程代码执行。
50%待验证Aikido的分析指出，同类缺陷模式在Python的HTTP处理栈中同样存在，尤其是当应用使用Brotli压缩并交由底层库解压时，恶意构造的压缩数据可能触发越界或注入行为。
50%待验证Brotli是Google于2015年推出的无损压缩算法，相比gzip在Web文本资源上通常有15%–25%的压缩率提升。
50%待验证Brotli解码器需要维护滑动窗口、字典引用和上下文建模等状态，实现中涉及大量边界检查与内存拷贝；对畸形输入的长度字段、字典索引校验不足可能导致越界读写或整数溢出。
50%待验证Aikido建议关注官方补丁与公告，并在CI流程中加入依赖扫描，因为漏洞涉及HTTP请求处理路径，即使应用不直接调用Brotli也可能通过框架默认配置被动暴露。
50%待验证许多Web框架和API网关默认启用Brotli解压以优化传输，应用代码即使从未显式调用解压函数，请求体也可能在中间件层被自动解码。
50%待验证仅检查业务代码中的Brotli调用并不充分，还需确认框架版本、反向代理（如Nginx、Envoy）和WSGI/ASGI服务器是否受影响，并评估关闭非必要压缩编码或限制请求体大小的缓解措施。
50%待验证HTTP2Shell将HTTP/2的帧处理与Brotli解压串联起来，放大了单点缺陷的影响。
50%待验证成熟的无损压缩算法（如zstd、Brotli）通常可以将英文网页文本压缩到约2-3 bpb
50%