因此，该软件受到 ALAS2023-2026-1648 公告中提及的多个漏洞影响。

    @isaacs/brace-expansion 是 brace-expansion 的 CJS/ESM TypeScript 混合分支。在低于 5.0.1版本之前，@isaacs/brace-expansion 容易受到不受限制的大括号范围扩展造成的拒绝服务 （DoS） 问题的影响。当攻击者提供包含重复数值大括号范围的模式时，库会迫切地尝试同步生成每个可能的组合。由于扩展呈指数级增长，即使很小的输入也可能消耗过量 CPU 和内存，并可能使Node.js进程崩溃。
    已在版本 5.0.1 中修补此问题。(CVE-2026-25547)

    nghttp2 是 C 语言中超文本传输协议版本 2 的实现。在旧版本 1.68.1之前，当应用程序调用面向公共 API 'nghttp2_session_terminate_session' 或 'nghttp2_session_terminate_session2' 的用户时，nghttp2 库会停止读取传入数据。
    当库检测到存在连接错误的情况时，可能会在内部调用它们。由于缺少内部状态验证，在调用其中一个 API 之后，库会继续读取其余数据。然后接收畸形帧，造成FRAME_SIZE_ERROR造成断言失败。nghttp2 v1.68.1 添加了缺少的状态验证以避免断言失败。没有已知的变通方案可用。(CVE-2026-27135)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1648)

critical Nessus 插件 ID 315650

版本 1.1