远程主机上安装的 Node.js 版本低于 20.20.2、22.22.2、24.14.1、25.8.2。因此，它受到 2026 年 3 月 24 日星期二安全版本公告中提及的多个漏洞影响。

  - Node.js TLS 错误处理中存在一个缺陷，远程攻击者可利用此缺陷，在使用 `pskCallback` 或 `ALPNCallback` 期间造成 TLS 服务器崩溃或耗尽其资源。在执行这类回调期间抛出的同步异常可绕过标准 TLS 错误处理路径（tlsClientError 和 error），导致进程立即终止或静默文件描述符泄漏，最终造成拒绝服务。这类回调会在 TLS 握手期间处理攻击者控制的输入，因此远程客户端可重复触发此问题。此漏洞会影响多个 Node.js 版本中使用 PSK 或 ALPN 回调的 TLS 服务器，而这些回调会在未被安全封装的情况下在该等服务器中抛出。(CVE-2026-21637)

  - 如果收到的请求包含名为“__proto__”的标头，且应用程序可以访问“req.headersDistinct”，则 Node.js HTTP 请求处理中的缺陷会导致未捕获的“TypeError”。发生这种情况时，“dest[__proto__]”会解析为“Object.prototype”，而非“undefined”，从而导致在非数组中调用“.push()”。此异常会在属性 getter 内同步抛出，并且无法被“error”事件监听程序拦截，即若未将每个“req.headersDistinct”访问封装在“try/catch”中，便无法处理此异常。* 此漏洞会影响 **20.x、22.x、24.x 和 v25.x** 上的所有 Node.js HTTP 服务器。(CVE-2026-21710)

  - Node.js 权限模型网络强制执行中存在一个缺陷，可导致 Unix 域套接字 (UDS) 服务器操作无法执行所需的权限检查，而所有类似的网络路径都能正确执行这些检查。因此，在未启用“--allow-net”时以“--permission”权限运行的代码可创建并暴露本地 IPC 端点，从而允许在预期网络限制边界之外与同一主机上的其他进程进行通信。此漏洞影响使用权限模型的 Node.js **25.x** 进程，其中有意省略“--allow-net”以限制网络访问。请注意，“--allow-net”当前是实验性功能。(CVE-2026-21711)

  - Node.js URL 处理中存在一个缺陷，可在使用包含无效字符的畸形国际化域名 (IDN) 调用“url.format()”时造成本机代码发生断言失败，进而造成 Node.js 进程崩溃。(CVE-2026-21712)

  - Node.js HMAC 验证中的缺陷在验证用户提供的签名时使用非常数时间比较，从而可能泄漏与匹配字节数成正比的定时信息。在某些可以进行高分辨率时序测量的威胁模式下，可利用此行为作为时序预言机来推断 HMAC 值。Node.js 已经提供了代码库中其他地方使用的时序安全的比较原语，表明这是一种疏忽，而不是有意的设计决策。此漏洞会影响 **20.x、22.x、24.x 和 25.x**。(CVE-2026-21713)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Node.js 20.x < 20.20.2 / 22.x < 22.22.2 / 24.x < 24.14.1 / 25.x < 25.8.2 多个漏洞（2026 年 3 月 24 日星期二安全版本）。

high Nessus 插件 ID 303494

版本 1.5