Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 QuickJS 引擎内对字符串加法 (+) 操作的处理中存在类型混淆漏洞。 * 代码首先检查左侧操作数是否为字符串。 * 然后尝试使用 JS_ToPrimitiveFree 将右侧操作数转换为原始值。此转换可触发回调（如 toString 或 valueOf）。 * 在此回调期间攻击者可以修改内存中左侧操作数的类型将其从字符串更改为其他类型例如对象或数组。
    * 随后代码会继续调用 JS_ConcatStringInPlace其仍将修改后的左侧值视为字符串。假定类型（字符串）与实际类型之间的这种不匹配允许攻击者控制由连接逻辑处理的数据结构从而导致类型混淆情况。这可导致越界内存访问从而可能导致内存损坏和在 QuickJS 运行时的上下文中执行任意代码。 (CVE-2025-62494)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-62494

high Nessus 插件 ID 270718

版本 1.7