CVE-2026-111497 是谷歌 Brotli 解码器缺陷，影响范围超出 Node.js，可导致 .NET 原生崩溃、FFmpeg 经 libjxl 内存损坏、ClickHouse 崩溃及 Apache Arrow 无限解码循环。受影响的上游版本为 Brotli 1.0.3 至 1.0.10 之前、1.1.0 及 1.2.0 早期版本。部分项目已单独修复，需核查厂商补丁而非仅看版本号。团队应追踪不可信数据进入解压代码的路径。