远程 Debian 10 主机上安装的程序包受到 dla-3350 公告中提及的多个漏洞影响。

  - Node.js 的 css-what 程序包 4.0.0 至 5.0.0 未确保属性解析具有相对于输入大小的线性时间复杂性。 (CVE-2021-33587)

  - 由于在 index.js 的 re_attr 变量中使用了不安全的正则表达式， 2.1.3 之前的程序包 css-what 容易受到正则表达式拒绝服务 (ReDoS) 的影响。可通过 parse 函数触发对该漏洞的利用。 (CVE-2022-21222)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3350-1：node-css-what - LTS 安全更新

high Nessus 插件 ID 172087

版本 1.0