远程主机上安装的 Node.js 版本低于 14.21.3、16.19.1、18.14.1、19.6.1。因此，其会受到 2023 年 2 月 16 日星期四安全版本公告中提及的多个漏洞影响。

  - 可以使用 process.mainModule.require() 绕过权限并访问非授权模块。这仅影响已通过 --experimental-policy 启用实验性权限选项的用户。感谢 @goums 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。影响：(CVE-2023-23918)

  - 在某些情况下，Node.js 未在可能对其进行设置的操作之后清除 OpenSSL 错误堆栈。这可能会在同一线程上发生后续加密操作期间导致误报错误。这反过来可以造成拒绝服务。感谢 Viasat Secure Mobile 的 Morgan Jones 和 Ryan Dorrity 报告并发现此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。影响：(CVE-2023-23919)

  - Node.js 中的提取 API 未阻止“host”标头中的 CRLF 注入，可能允许 HTTP 响应拆分和 HTTP 标头注入等攻击。感谢 Zhipeng Zhang (@timon8) 报告此漏洞，同时感谢 Robert Nagy 修复此漏洞。影响：(CVE-2023-23936)

  - 在 Node.js 中，提取 API 中的 headers.set() 和 headers.append() 方法容易受到正则表达式拒绝服务 (ReDoS) 攻击。感谢 Carter Snook 报告此漏洞，同时感谢 Rich Trott 修复此漏洞。影响：(CVE-2023-24807)

  - 当以提升的权限运行时，Node.js 会搜索并可能加载 ICU 数据。Node.js 已修改为使用 ICU_NO_USER_DATA_OVERRIDE 构建以避免此问题。感谢 Ben Noordhuis 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。影响：(CVE-2023-23920)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Node.js 14.x < 14.21.3 / 16.x < 16.19.1 / 18.x < 18.14.1 / 19.x < 19.6.1 多个漏洞（2023 年 2 月 16 日星期四安全版本）。

high Nessus 插件 ID 171595

未找到依赖项