远程主机上安装的 axios Node.js 模块的版本低于 0.30.4 或 1.14.1。因此，该版本会受到供应链漏洞影响，针对广泛使用的 HTTP 客户端 Axios 的供应链攻击已将恶意依存关系引入特定 npm 版本，包括 axios@0.30.4 和 axios@1.14.1。

最新版本会引入 plain-crypto-js@4.2.1，这是 Socket 已确认为恶意的程序包。该恶意程序包会部署多阶段负载，包括能够执行任意命令、泄露系统数据并在受感染机器上持久存在的远程访问特洛伊木马 (RAT)。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Node.js 模块 axios 0.30.4 / 1.14.1 供应链漏洞

critical Nessus 插件 ID 304406

版本 1.1