CVE-2026-111497 es una vulnerabilidad crítica de out-of-bounds write (CWE-787) en el decodificador Brotli de Google (versiones 1.0.3 a 1.2.0), exacerbada por un valor de retorno no verificado (CWE-252) en la función DecodeBlockTypeAndLength(). Un atacante remoto no autenticado puede enviar un stream Brotli malformado que causa que el decodificador acepte más bytes de los esperados, desbordando un buffer interno y corrompiendo la memoria. Esto puede llevar a fugas de datos sensibles, caídas del proceso o, potencialmente, ejecución remota de código (RCE).
La causa raíz técnica reside en que la función DecodeBlockTypeAndLength() devolvía un booleano ambiguo (BROTLI_FALSE) que no distinguía entre un stream malformado y la necesidad de más entrada. Además, en la "fast path", el valor de retorno se descartaba completamente. Un stream especialmente diseñado podía agotar la longitud de un tipo de bloque, forzando un cambio de bloque que no podía completarse. Esto resultaba en que el decodificador continuara procesando con un estado de bloque incorrecto, llevando al out-of-bounds write.
Las salvaguardas fallaron principalmente debido a una falta de reconocimiento inicial de la gravedad de la vulnerabilidad. Aunque OpenAI la descubrió y se aplicó un fix en el código fuente de Brotli en febrero, no se identificó como un problema de seguridad crítico en ese momento y no se lanzó una versión de seguridad. Esto significó que la corrección permaneció sin ser distribuida hasta que la vulnerabilidad fue redescubierta y divulgada públicamente, obligando a cada proyecto que empaqueta Brotli a lanzar su propia actualización de forma reactiva. La amplia adopción de Brotli como dependencia transitiva en clientes HTTP populares (como requests, httpx, urllib3) amplificó el impacto, ya que las aplicaciones podían estar expuestas sin importar explícitamente la librería.